Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-03178: Уязвимость утилиты командной строки cURL, связанная с ошибкой установки файлов cookie для доменов верхнего уровня (TLD), позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Описание уязвимости	Уязвимость утилиты командной строки cURL связана с ошибкой установки файлов cookie для доменов верхнего уровня (TLD) с применением завершающей точки в имени хоста. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации с помощью файлов cookie
Вендор	Novell Inc., ООО «Ред Софт», ФССП России, АО «ИВК», Fedora Project, Дэниел Стенберг, АО "НППКТ"
Наименование ПО	openSUSE Tumbleweed, РЕД ОС (запись в едином реестре российских программ №3751), ОС ТД АИС ФССП России, Альт 8 СП, Fedora, cURL, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО	- (openSUSE Tumbleweed) 7.3 (РЕД ОС) ИК6 (ОС ТД АИС ФССП России) - (Альт 8 СП) 36 (Fedora) от 7.82.0 до 7.83.1 (cURL) до 2.5 (ОСОН ОСнова Оnyx)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751) ФССП России ОС ТД АИС ФССП России ИК6 АО «ИВК» Альт 8 СП - Fedora Project Fedora 36
Тип ошибки	Раскрытие информации, Раскрытие информации при передаче данных
Идентификатор типа ошибки	CWE-200 CWE-201
Класс уязвимости	Уязвимость архитектуры
Дата выявления	27.01.2022
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:N/A:N CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N
Уровень опасности уязвимости	Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,3)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для cURL: https://curl.se/docs/CVE-2022-27779.html Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для продуктов Novell Inc.: https://www.suse.com/es-es/security/cve/CVE-2022-27779.html Для Fedora: https://bodhi.fedoraproject.org/updates/FEDORA-2022-d15a736748 Для продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2022-27779 Для ОС ТД АИС ФССП России: https://goslinux.fssp.gov.ru/2726972/ Для Альт 8 СП: https://altsp.su/obnovleniya-bezopasnosti/ Организационные меры: Рекомендуется использовать cURL с поддержкой библиотеки списка общедоступных суффиксов libpsl (т.к ошибка связана с обработкой общедоступных суффиксов). Следует отказаться от использования файлов cookie, нарушающих конфиденциальность для суффиксов доменных имен высокого уровня Для ОСОН Основа: Обновление программного обеспечения curl до версии 7.83.1-1
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Несанкционированный сбор информации
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://redos.red-soft.ru/support/secure/ https://curl.se/docs/CVE-2022-27779.html https://access.redhat.com/security/cve/cve-2022-27779 https://www.cybersecurity-help.cz/vdb/SB2022051112 https://www.suse.com/es-es/security/cve/CVE-2022-27779.html https://github.com/curl/curl/commit/7e92d12b4e6911f https://bodhi.fedoraproject.org/updates/FEDORA-2022-d15a736748 https://goslinux.fssp.gov.ru/2726972/ https://altsp.su/obnovleniya-bezopasnosti/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2022-27779
Прочая информация	Данные уточняются

Последние изменения