Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-04487: Уязвимость набора утилит командной строки BusyBox, связанная с ошибками при проверке ввода записей PTR DNS, выводимых в утилите netstat, позволяющая нарушителю выполнять произвольные команды оболочки в целевой системе

Описание уязвимости	Уязвимость набора утилит командной строки BusyBox связана с ошибками при проверке ввода записей PTR DNS, выводимых в утилите netstat, если она выполняется на совместимом с VT терминале. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды оболочки в целевой системе
Вендор	ООО «Ред Софт», ООО «РусБИТех-Астра», ФССП России, Сообщество свободного программного обеспечения, АО "НППКТ", ООО «Открытая мобильная платформа»
Наименование ПО	РЕД ОС (запись в едином реестре российских программ №3751), Astra Linux Special Edition (запись в едином реестре российских программ №369), ОС ТД АИС ФССП России, BusyBox, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913), ОС Аврора (запись в едином реестре российских программ №1543)
Версия ПО	7.3 (РЕД ОС) 1.7 (Astra Linux Special Edition) ИК6 (ОС ТД АИС ФССП России) до 1.35.0 включительно (BusyBox) 4.7 (Astra Linux Special Edition) до 2.6 (ОСОН ОСнова Оnyx) до 4.0.2.209 включительно (ОС Аврора)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	ООО «Ред Софт» РЕД ОС 7.3 (запись в едином реестре российских программ №3751) ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369) ФССП России ОС ТД АИС ФССП России ИК6 ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 ARM (запись в едином реестре российских программ №369) АО "НППКТ" ОСОН ОСнова Оnyx до 2.6 (запись в едином реестре российских программ №5913) ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.209 включительно Aquarius CMP NS220 (запись в едином реестре российских программ №1543) ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.209 включительно Byterg MVK-2020 (запись в едином реестре российских программ №1543) ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.209 включительно F+ Life Tab Plus (запись в едином реестре российских программ №1543) ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.209 включительно Mashtab TrustPhone T1 (запись в едином реестре российских программ №1543)
Тип ошибки	Непринятие мер по нейтрализации специальных элементов, используемых в команде операционной системы (Внедрение в команду операционной системы)
Идентификатор типа ошибки	CWE-78
Класс уязвимости	Уязвимость кода
Дата выявления	07.07.2022
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для BusyBox: https://gitlab.alpinelinux.org/alpine/aports/-/issues/13661 Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для ОС Аврора: https://cve.omprussia.ru/bb21 https://cve.omprussia.ru/bb22402 Для ОС ТД АИС ФССП России: https://goslinux.fssp.gov.ru/2726972/ Для ОСОН ОСнова Оnyx: Обновление программного обеспечения busybox до версии 1:1.30.1-7ubuntu3osnova6u1 Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Инъекция
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://redos.red-soft.ru/support/secure/ https://nvd.nist.gov/vuln/detail/CVE-2022-28391 https://git.alpinelinux.org/aports/plain/main/busybox/0001-libbb-sockaddr2str-ensure-only-printable-characters-.patch https://git.alpinelinux.org/aports/plain/main/busybox/0002-nslookup-sanitize-all-printed-strings-with-printable.patch https://gitlab.alpinelinux.org/alpine/aports/-/issues/13661 https://cve.omprussia.ru/bb21 https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-busybox-cve-2022-28391/ https://goslinux.fssp.gov.ru/2726972/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/ https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD https://cve.omprussia.ru/bb22402
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2022-28391
Прочая информация	Данные уточняются

Последние изменения