BDU:2022-04039: Уязвимость функции модульного возведения в степень Монтгомери с постоянным временем библиотек OpenSSL и BoringSSL, позволяющая нарушителю выполнить произвольный код

Описание уязвимости

Уязвимость функции модульного возведения в степень Монтгомери с постоянным временем библиотек OpenSSL и BoringSSL связана с возможностью записи за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных данных в момент установки TLS-соединения

Вендор

ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, АО «ИВК», OpenSSL Software Foundation, АО "НППКТ", АО «НТЦ ИТ РОСА»

Версия ПО

  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 10 (Debian GNU/Linux)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • 11 (Debian GNU/Linux)
  • 1.7 (Astra Linux Special Edition)
  • - (Альт 8 СП)
  • от 3.0.0 до 3.0.4 (OpenSSL)
  • от 1.1.1 до 1.1.1p (OpenSSL)
  • от 1.0.2 до 1.0.2zf (OpenSSL)
  • 4.7 (Astra Linux Special Edition)
  • до 2.5.1 (ОСОН ОСнова Оnyx)
  • 2.1 (ROSA Virtualization)

Тип ПО

Операционная система, Программное средство защиты

Операционные системы и аппаратные платформы

Тип ошибки

Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

21.06.2022

Базовый вектор уязвимости

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- ограничение использования библиотек на системах x64 с поддержкой AVX512;
- использование неподверженной уязвимости ветки OpenSSL 1.1.1.

Использование рекомендаций:
Для OpenSSL:
использование рекомендаций производителя: https://www.openssl.org/news/secadv/20220621.txt

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-2068

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения openssl до версии 1.1.1n-0+deb10u3

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2211

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет openssl до 1.1.1n-0+deb10u3-astra4+ci5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Способ эксплуатации

  • Инъекция

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

Прочая информация

Данные уточняются
Последние изменения