Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-00337: Уязвимость загрузчика операционных систем Grub2, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю получить доступ к конфиденциальным данным, оказать влияние на целостность данных, а также вызвать отказ в обслуживании

Описание уязвимости	Уязвимость загрузчика операционных систем Grub2 связана с выходом операции за границы буфера в памяти при отсутствии проверки данных от USB-устройства. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, оказать влияние на целостность данных, а также вызвать отказ в обслуживании
Вендор	Red Hat Inc., Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Novell Inc., Erich Boleyn, Fedora Project, ООО «Ред Софт», ФССП России, АО "НППКТ", ООО «Юбитех»
Наименование ПО	Red Hat Enterprise Linux, Debian GNU/Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), SUSE Linux Enterprise Server for SAP Applications, Suse Linux Enterprise Server, OpenSUSE Leap, Grub2, Fedora, РЕД ОС (запись в едином реестре российских программ №3751), ОС ТД АИС ФССП России, Suse Linux Enterprise Desktop, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913), UBLinux (запись в едином реестре российских программ №6874)
Версия ПО	7 (Red Hat Enterprise Linux) 9 (Debian GNU/Linux) 1.6 «Смоленск» (Astra Linux Special Edition) 12 SP2 (SUSE Linux Enterprise Server for SAP Applications) 12 SP3 (SUSE Linux Enterprise Server for SAP Applications) 12 SP4 (SUSE Linux Enterprise Server for SAP Applications) 8.0 (Debian GNU/Linux) 8 (Red Hat Enterprise Linux) 12 SP2-BCL (Suse Linux Enterprise Server) 12 SP2-ESPOS (Suse Linux Enterprise Server) 15 (SUSE Linux Enterprise Server for SAP Applications) 15 SP1 (SUSE Linux Enterprise Server for SAP Applications) 11 SP4-LTSS (Suse Linux Enterprise Server) 12 SP2-LTSS (Suse Linux Enterprise Server) 12 SP3-LTSS (Suse Linux Enterprise Server) 12 SP3-BCL (Suse Linux Enterprise Server) 12 SP5 (Suse Linux Enterprise Server) 12 SP5 (SUSE Linux Enterprise Server for SAP Applications) 10 (Debian GNU/Linux) 7.6 Extended Update Support (Red Hat Enterprise Linux) 12 SP3-ESPOS (Suse Linux Enterprise Server) 7.2 Advanced Update Support (Red Hat Enterprise Linux) 15-LTSS (Suse Linux Enterprise Server) 7.3 Advanced Update Support (Red Hat Enterprise Linux) 7.4 Telco Extended Update Support (Red Hat Enterprise Linux) 7.4 Advanced Update Support (Red Hat Enterprise Linux) 15.2 (OpenSUSE Leap) 8.1 Extended Update Support (Red Hat Enterprise Linux) 12 SP4-ESPOS (Suse Linux Enterprise Server) 7.7 Extended Update Support (Red Hat Enterprise Linux) до 2.06 (Grub2) 8.2 Extended Update Support (Red Hat Enterprise Linux) 12 SP4-LTSS (Suse Linux Enterprise Server) 15 SP1-BCL (Suse Linux Enterprise Server) 15 SP1-LTSS (Suse Linux Enterprise Server) 34 (Fedora) 7.4 Update Services for SAP Solutions (Red Hat Enterprise Linux) 15.3 (OpenSUSE Leap) 11 (Debian GNU/Linux) 7.3 (РЕД ОС) 1.7 (Astra Linux Special Edition) 4.7 (Astra Linux Special Edition) ИК6 (ОС ТД АИС ФССП России) 15.4 (OpenSUSE Leap) 15 SP3 (Suse Linux Enterprise Server) 15 SP3 (SUSE Linux Enterprise Server for SAP Applications) 15 SP3 (Suse Linux Enterprise Desktop) 15 SP2 (Suse Linux Enterprise Server) 15 SP2 (SUSE Linux Enterprise Server for SAP Applications) 15 SP4 (Suse Linux Enterprise Server) 15 SP2 (Suse Linux Enterprise Desktop) 15 SP4 (Suse Linux Enterprise Desktop) 15 SP4 (SUSE Linux Enterprise Server for SAP Applications) до 2.1 (ОСОН ОСнова Оnyx) до 2204 (UBLinux)
Тип ПО	Операционная система
Операционные системы и аппаратные платформы	Red Hat Inc. Red Hat Enterprise Linux 7 Сообщество свободного программного обеспечения Debian GNU/Linux 9 ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4 Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Red Hat Inc. Red Hat Enterprise Linux 8 Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL Novell Inc. Suse Linux Enterprise Server 12 SP2-ESPOS Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP1 Novell Inc. Suse Linux Enterprise Server 11 SP4-LTSS Novell Inc. Suse Linux Enterprise Server 12 SP2-LTSS Novell Inc. Suse Linux Enterprise Server 12 SP3-LTSS Novell Inc. Suse Linux Enterprise Server 12 SP3-BCL Novell Inc. Suse Linux Enterprise Server 12 SP5 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5 Сообщество свободного программного обеспечения Debian GNU/Linux 10 Red Hat Inc. Red Hat Enterprise Linux 7.6 Extended Update Support Novell Inc. Suse Linux Enterprise Server 12 SP3-ESPOS Red Hat Inc. Red Hat Enterprise Linux 7.2 Advanced Update Support Novell Inc. Suse Linux Enterprise Server 15-LTSS Red Hat Inc. Red Hat Enterprise Linux 7.3 Advanced Update Support Red Hat Inc. Red Hat Enterprise Linux 7.4 Telco Extended Update Support Red Hat Inc. Red Hat Enterprise Linux 7.4 Advanced Update Support Novell Inc. OpenSUSE Leap 15.2 Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS Red Hat Inc. Red Hat Enterprise Linux 7.7 Extended Update Support Erich Boleyn Grub2 до 2.06 Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS Novell Inc. Suse Linux Enterprise Server 15 SP1-BCL Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS Fedora Project Fedora 34 Red Hat Inc. Red Hat Enterprise Linux 7.4 Update Services for SAP Solutions Novell Inc. OpenSUSE Leap 15.3 Сообщество свободного программного обеспечения Debian GNU/Linux 11 ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751) ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369) ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 (запись в едином реестре российских программ №369) ФССП России ОС ТД АИС ФССП России ИК6 Novell Inc. OpenSUSE Leap 15.4 Novell Inc. Suse Linux Enterprise Server 15 SP3 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3 Novell Inc. Suse Linux Enterprise Desktop 15 SP3 Novell Inc. Suse Linux Enterprise Server 15 SP2 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2 Novell Inc. Suse Linux Enterprise Server 15 SP4 Novell Inc. Suse Linux Enterprise Desktop 15 SP2 Novell Inc. Suse Linux Enterprise Desktop 15 SP4 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 АО "НППКТ" ОСОН ОСнова Оnyx до 2.1 (запись в едином реестре российских программ №5913) ООО «Юбитех» UBLinux до 2204 (запись в едином реестре российских программ №6874)
Тип ошибки	Запись за границами буфера
Идентификатор типа ошибки	CWE-787
Класс уязвимости	Уязвимость кода
Дата выявления	09.10.2020
Базовый вектор уязвимости	CVSS 2.0: AV:L/AC:L/Au:N/C:C/I:C/A:C CVSS 3.0: AV:P/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,6)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для Grub: https://security.gentoo.org/glsa/202104-05 Для ОС Debian: https://security-tracker.debian.org/tracker/CVE-2020-25647 Для ОС Astra Linux: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47 Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для ОС ТД АИС ФССП России: https://goslinux.fssp.gov.ru/2726972/ Для UBLinux: https://security.ublinux.ru/ASA-202105-7/generate Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZWZ36QK4IKU6MWDWNOOWKPH3WXZBHT2R/ Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2020-25647 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2020-25647.html Для ОС Astra Linux: использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://bugzilla.redhat.com/show_bug.cgi?id=1886936 https://nvd.nist.gov/vuln/detail/CVE-2020-25647 https://security-tracker.debian.org/tracker/CVE-2020-25647 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47 https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-grub-/?sphrase_id=63279 https://goslinux.fssp.gov.ru/2726972/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/ https://security.ublinux.ru/ASA-202105-7/generate https://security.gentoo.org/glsa/202104-05 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZWZ36QK4IKU6MWDWNOOWKPH3WXZBHT2R/ https://access.redhat.com/security/cve/cve-2020-25647 https://www.suse.com/security/cve/CVE-2020-25647.html https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2020-25647
Прочая информация	Данные уточняются

Последние изменения