BDU:2022-06395: Уязвимость библиотеки предоставляющей функции для работы с сертификатами X.509 LibKSBA, связанная с целочисленным переполнением в синтаксическом анализаторе CRL, позволяющая нарушителю выполнить произвольный код в целевой системе

Описание уязвимости Уязвимость библиотеки предоставляющей функции для работы с сертификатами X.509 LibKSBA связана с целочисленным переполнением в синтаксическом анализаторе CRL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные, вызвать целочисленное переполнение и выполнить произвольный код в целевой системе
Вендор Red Hat Inc., Сообщество свободного программного обеспечения, ООО «Ред Софт», АО "НППКТ"
Наименование ПО Red Hat Enterprise Linux, Red Hat Virtualization, Debian GNU/Linux, РЕД ОС (запись в едином реестре российских программ №3751), LibKSBA, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 7 (Red Hat Enterprise Linux)
  • 4 (Red Hat Virtualization)
  • 8 (Red Hat Enterprise Linux)
  • 10.0 (Debian GNU/Linux)
  • 11.0 (Debian GNU/Linux)
  • 7.3 (РЕД ОС)
  • 9 (Red Hat Enterprise Linux)
  • от 0.9.13 до 1.6.1 (LibKSBA)
  • до 2.6 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, ПО виртуализации/ПО виртуального программно-аппаратного средства, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Целочисленное переполнение или циклический сдвиг
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 18.10.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для LibKSBA:
https://dev.gnupg.org/T6230
https://gnupg.org/blog/20221017-pepe-left-the-ksba.html

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-libksba-cve-2022-3515/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-3515

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-3515

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения libksba до версии 1.3.5-2+deb10u1
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения