BDU:2022-06851: Уязвимость RDP-сервера FreeRDP, связанная с недостатками процедуры аутентификации, позволяющая нарушителю обойти процесс аутентификации

Описание уязвимости Уязвимость RDP-сервера FreeRDP связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти процесс аутентификации
Вендор Canonical Ltd., Сообщество свободного программного обеспечения, Novell Inc., Fedora Project, ООО «РусБИТех-Астра», АО «ИВК», Free software foundation, ООО «Юбитех»
Наименование ПО Ubuntu, Debian GNU/Linux, Suse Linux Enterprise Server, SUSE Linux Enterprise Server for SAP Applications, Suse Linux Enterprise Desktop, Fedora, OpenSUSE Leap, Astra Linux Special Edition (запись в едином реестре российских программ №369), Альт 8 СП, FreeRDP, UBLinux (запись в едином реестре российских программ №6874)
Версия ПО
  • 18.04 LTS (Ubuntu)
  • 10.0 (Debian GNU/Linux)
  • 12 SP5 (Suse Linux Enterprise Server)
  • 12 SP5 (SUSE Linux Enterprise Server for SAP Applications)
  • 20.04 LTS (Ubuntu)
  • 12 SP5 (Suse Linux Enterprise Desktop)
  • 34 (Fedora)
  • 15.3 (OpenSUSE Leap)
  • 11.0 (Debian GNU/Linux)
  • 35 (Fedora)
  • 21.10 (Ubuntu)
  • 1.7 (Astra Linux Special Edition)
  • 15.4 (OpenSUSE Leap)
  • 15 SP3 (Suse Linux Enterprise Server)
  • 15 SP3 (SUSE Linux Enterprise Server for SAP Applications)
  • 15 SP3 (Suse Linux Enterprise Desktop)
  • - (Альт 8 СП)
  • 36 (Fedora)
  • 15 SP4 (Suse Linux Enterprise Server)
  • 15 SP4 (Suse Linux Enterprise Desktop)
  • 15 SP4 (SUSE Linux Enterprise Server for SAP Applications)
  • 22.04 LTS (Ubuntu)
  • до 2.7.0 (FreeRDP)
  • 4.7 (Astra Linux Special Edition)
  • до 2204 (UBLinux)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • Canonical Ltd. Ubuntu 18.04 LTS
  • Red Hat Inc. Red Hat Enterprise Linux 8
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
  • Novell Inc. Suse Linux Enterprise Server 12 SP5
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5
  • Canonical Ltd. Ubuntu 20.04 LTS
  • Novell Inc. Suse Linux Enterprise Desktop 12 SP5
  • Fedora Project Fedora 34
  • Novell Inc. OpenSUSE Leap 15.3
  • Сообщество свободного программного обеспечения Debian GNU/Linux 11.0
  • Fedora Project Fedora 35
  • Canonical Ltd. Ubuntu 21.10
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369)
  • Novell Inc. OpenSUSE Leap 15.4
  • Novell Inc. Suse Linux Enterprise Server 15 SP3
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3
  • Novell Inc. Suse Linux Enterprise Desktop 15 SP3
  • АО «ИВК» Альт 8 СП -
  • Fedora Project Fedora 36
  • Novell Inc. Suse Linux Enterprise Server 15 SP4
  • Novell Inc. Suse Linux Enterprise Desktop 15 SP4
  • Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4
  • Canonical Ltd. Ubuntu 22.04 LTS
  • Red Hat Inc. Red Hat Enterprise Linux 9
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 ARM (запись в едином реестре российских программ №369)
  • ООО «Юбитех» UBLinux до 2204 (запись в едином реестре российских программ №6874)
Тип ошибки Неправильная аутентификация
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 22.04.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Организационные меры:
- использовать пользовательскую аутентификацию с помощью "HashCallback";
- убедиться, что настроенный путь к базе данных "SAM" действителен, а в приложении остались дескрипторы файлов.

Использование рекомендаций:
Для FreeRDP:
использование рекомендаций производителя:
https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-qxm3-v2r6-vmwf
https://github.com/FreeRDP/FreeRDP/releases/tag/2.7.0

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-24883
https://ubuntu.com/security/notices/USN-5461-1

Для UBLinux:
https://security.ublinux.ru/CVE-2022-24883

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-24883

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AELSWWBAM2YONRPGLWVDY6UNTLJERJYL/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DOYKBQOHSRM7JQYUIYUWFOXI2JZ2J5RD/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PZWR6KSIKXO4B2TXBB3WH6YTNYHN46OY/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-24883.html

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Статус уязвимости Подтверждена производителем
Наличие эксплойта Существует в открытом доступе
Способ эксплуатации
  • Нарушение аутентификации
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения