BDU:2021-03629: Уязвимость функции Job::onEntry из jobs.cpp архиватора Ark, связанная с недостатками ограничения имени пути к каталогу, позволяющая нарушителю оказать воздействие на целостность защищаемой информации

Описание уязвимости Уязвимость функции Job::onEntry из jobs.cpp архиватора Ark связана с некорректным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации
Вендор ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Wireshark team, АО "НППКТ"
Наименование ПО Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, Astra Linux Special Edition для «Эльбрус» (запись в едином реестре российских программ №11156), Wireshark Network Protocol Analyzer, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 8.0 (Debian GNU/Linux)
  • 9.0 (Debian GNU/Linux)
  • 10.0 (Debian GNU/Linux)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • до 20.08.0 (Wireshark Network Protocol Analyzer)
  • до 2.5 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, Сетевое программное средство
Операционные системы и аппаратные платформы
Тип ошибки Неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»)
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 03.08.2020
Базовый вектор уязвимости
Уровень опасности уязвимости Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Ark:
https://invent.kde.org/utilities/ark/-/commit/0df592524fed305d6fbe74ddf8a196bc9ffdb92f

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2020-16116

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОСОН Основа:
Обновление программного обеспечения ark до версии 4:18.08.3+repack2-1+deb10u2osnova1
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование ресурсами
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения