Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-00297: Уязвимость функции «Copy as curl» в DevTools почтового клиента Thunderbird, браузеров Firefox и Firefox ESR, позволяющая нарушителю выполнить произвольные команды в системе

Описание уязвимости	Уязвимость функции «Copy as curl» в DevTools почтового клиента Thunderbird, браузеров Firefox и Firefox ESR связана с выполнением произвольных команд в целевой системе из-за неправильной проверки ввода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды в системе, если скопированные данные вставлены в командную строку Powershell
Вендор	Сообщество свободного программного обеспечения, ООО «Ред Софт», Mozilla Corp., АО «ИВК», АО "НППКТ"
Наименование ПО	Debian GNU/Linux, РЕД ОС (запись в едином реестре российских программ №3751), Firefox, Firefox ESR, Thunderbird, Альт 8 СП, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО	9.0 (Debian GNU/Linux) 10.0 (Debian GNU/Linux) 11.0 (Debian GNU/Linux) 7.3 (РЕД ОС) до 96 (Firefox) до 91.5 (Firefox ESR) до 91.5 (Thunderbird) - (Альт 8 СП) до 2.4.2 (ОСОН ОСнова Оnyx)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Сообщество свободного программного обеспечения Debian GNU/Linux 10.0 Сообщество свободного программного обеспечения Debian GNU/Linux 11.0 ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751)
Тип ошибки	Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Идентификатор типа ошибки	CWE-78
Класс уязвимости	Уязвимость кода
Дата выявления	11.01.2022
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:H/Au:N/C:C/I:C/A:N CVSS 3.0: AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:N
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для программных продуктов Mozilla Corp.: https://www.mozilla.org/en-US/security/advisories/mfsa2022-02/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-01/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-03/ Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для Debian: https://security-tracker.debian.org/tracker/CVE-2022-22744 Для ОС Альт 8 СП: Обновление программного обеспечения до актуальной версии Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.5.0+repack-2~deb10u1.osnova1
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Инъекция
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ https://altsp.su/obnovleniya-bezopasnosti/ https://security-tracker.debian.org/tracker/CVE-2022-22744 https://www.mozilla.org/en-US/security/advisories/mfsa2022-01/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-02/ https://www.mozilla.org/en-US/security/advisories/mfsa2022-03/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.2/
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2022-22744
Прочая информация	Данные уточняются

Последние изменения