«ФСТЭК России»

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»
  1. Главная
  2. Список уязвимостей
  3. BDU:2020-03241

BDU:2020-03241: Уязвимость программного средства для взаимодействия с серверами curl, существующая из-за логической ошибки при обработке Content-Disposition заголовка ответа HTTP, позволяющая нарушителю перезаписать локальный файл

Описание уязвимости

Уязвимость программного средства для взаимодействия с серверами curl существует из-за логической ошибки при обработке Content-Disposition заголовка ответа HTTP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перезаписать локальный файл

Вендор

Canonical Ltd., Novell Inc., Сообщество свободного программного обеспечения, Red Hat Inc., ООО «Ред Софт», Daniel Stenberg, АО «Концерн ВНИИНС», ООО «РусБИТех-Астра»

Наименование ПО

Ubuntu, SUSE Linux Enterprise Server for SAP Applications, SUSE Linux Enterprise Software Development Kit, SUSE OpenStack Cloud, Debian GNU/Linux, Suse Linux Enterprise Server, Red Hat Enterprise Linux, SUSE Linux Enterprise Module for Basesystem, SUSE Enterprise Storage, SUSE Linux Enterprise Point of Sale, SUSE Linux Enterprise Module for Open Buildservice Development Tools, OpenSUSE Leap, РЕД ОС (запись в едином реестре российских программ №3751), HPE Helion Openstack, Red Hat Software Collections, JBoss Core Services, SUSE Linux Enterprise High Performance Computing, curl, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177), Astra Linux Special Edition (запись в едином реестре российских программ №369)

Версия ПО

  • 16.04 LTS (Ubuntu)
  • 18.04 LTS (Ubuntu)
  • 12 SP2 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP2-BCL (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP2-ESPOS (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP2-LTSS (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP3 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP4 (SUSE Linux Enterprise Software Development Kit)
  • 7 (SUSE OpenStack Cloud)
  • 9.0 (Debian GNU/Linux)
  • 12 SP4 (Suse Linux Enterprise Server)
  • 12.04 ESM (Ubuntu)
  • 8 (Red Hat Enterprise Linux)
  • 15 SP1 (SUSE Linux Enterprise Module for Basesystem)
  • 5 (SUSE Enterprise Storage)
  • 12 SP2-BCL (Suse Linux Enterprise Server)
  • 12 SP2-ESPOS (Suse Linux Enterprise Server)
  • 11 SP3 (SUSE Linux Enterprise Point of Sale)
  • 15 SP1 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
  • 15.1 (OpenSUSE Leap)
  • 15 (SUSE Linux Enterprise Server for SAP Applications)
  • 11 SP4-LTSS (Suse Linux Enterprise Server)
  • 12 SP2-LTSS (Suse Linux Enterprise Server)
  • 11 SP4-LTSS (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP3-LTSS (Suse Linux Enterprise Server)
  • 10.0 (Debian GNU/Linux)
  • 14.04 ESM (Ubuntu)
  • 8 (SUSE OpenStack Cloud)
  • 12 SP3-BCL (Suse Linux Enterprise Server)
  • 12 SP5 (Suse Linux Enterprise Server)
  • 12 SP3-BCL (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP3-LTSS (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP5 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP5 (SUSE Linux Enterprise Software Development Kit)
  • Crowbar 8 (SUSE OpenStack Cloud)
  • 11-SECURITY (Suse Linux Enterprise Server)
  • 11-SECURITY (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP2-CLIEN (SUSE Linux Enterprise Point of Sale)
  • 7.2 Муром (РЕД ОС)
  • 8 (HPE Helion Openstack)
  • - (Red Hat Software Collections)
  • 12 SP3-ESPOS (Suse Linux Enterprise Server)
  • 12 SP3-ESPOS (SUSE Linux Enterprise Server for SAP Applications)
  • - (JBoss Core Services)
  • 19.10 (Ubuntu)
  • 15-ESPOS (SUSE Linux Enterprise High Performance Computing)
  • 15-LTSS (SUSE Linux Enterprise High Performance Computing)
  • 15-LTSS (Suse Linux Enterprise Server)
  • 15 SP2 (SUSE Linux Enterprise Module for Basesystem)
  • 20.04 LTS (Ubuntu)
  • 15 SP2 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)
  • 15.2 (OpenSUSE Leap)
  • до 7.71.0 (curl)
  • 1.0 (ОС ОН «Стрелец»)
  • 1.7 (Astra Linux Special Edition)
  • 4.7 (Astra Linux Special Edition)

Тип ПО

Операционная система, Прикладное ПО информационных систем, Сетевое средство, Сетевое программное средство

Операционные системы и аппаратные платформы

  • Canonical Ltd. Ubuntu 16.04 LTS 32-bit
  • Canonical Ltd. Ubuntu 16.04 LTS
  • Canonical Ltd. Ubuntu 18.04 LTS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2-BCL
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2-ESPOS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2-LTSS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0
  • Novell Inc. Suse Linux Enterprise Server 12 SP4
  • Canonical Ltd. Ubuntu 12.04 ESM
  • Red Hat Inc. Red Hat Enterprise Linux 8
  • Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL
  • Novell Inc. Suse Linux Enterprise Server 12 SP2-ESPOS
  • Novell Inc. OpenSUSE Leap 15.1
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15
  • Novell Inc. Suse Linux Enterprise Server 11 SP4-LTSS
  • Novell Inc. Suse Linux Enterprise Server 12 SP2-LTSS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 11 SP4-LTSS
  • Novell Inc. Suse Linux Enterprise Server 12 SP3-LTSS
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
  • Canonical Ltd. Ubuntu 14.04 ESM
  • Novell Inc. Suse Linux Enterprise Server 12 SP3-BCL
  • Novell Inc. Suse Linux Enterprise Server 12 SP5
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3-BCL
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3-LTSS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5
  • Novell Inc. Suse Linux Enterprise Server 11-SECURITY
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 11-SECURITY
  • ООО «Ред Софт» РЕД ОС 7.2 Муром (запись в едином реестре российских программ №3751)
  • Novell Inc. Suse Linux Enterprise Server 12 SP3-ESPOS
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3-ESPOS
  • Canonical Ltd. Ubuntu 19.10
  • Novell Inc. Suse Linux Enterprise Server 15-LTSS
  • Canonical Ltd. Ubuntu 20.04 LTS
  • Novell Inc. OpenSUSE Leap 15.2
  • АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 (запись в едином реестре российских программ №6177)
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369)
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 (запись в едином реестре российских программ №369)

Тип ошибки

Непринятие мер по нейтрализации заголовков HTTP для синтаксиса сценария

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

25.06.2020

Базовый вектор уязвимости

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для curl:
https://github.com/curl/curl/commit/80675818e0417be8c991513b328c5507e93b47e5

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2020-8177

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2020-8177/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-8177

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4402-1

Для Red OS:
Необходимо запретить использование утилиты curl или установить обновления безопасности для пакета curl-7.61.1

Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Способ эксплуатации

  • Нарушение авторизации

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://access.redhat.com/security/cve/cve-2020-8177
https://curl.haxx.se/docs/CVE-2020-8177.html
https://github.com/curl/curl/commit/80675818e0417be8c991513b328c5507e93b47e5
https://security-tracker.debian.org/tracker/CVE-2020-8177
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
https://ubuntu.com/security/notices/USN-4402-1
https://www.opennet.ru/opennews/art.shtml?num=53239
https://www.suse.com/security/cve/CVE-2020-8177/
https://www.whitesourcesoftware.com/vulnerability-database/CVE-2020-8177
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Идентификаторы других систем описаний уязвимостей

Прочая информация

Данные уточняются
Последние изменения

Угрозы: 222 Уязвимости: 40500 Последнее обновление: 24.06.2022

© ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

Яндекс.Метрика