Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2023-00346: Уязвимость веб-интерфейса управления операционной системы SonicOS, позволяющая нарушителю выполнить произвольный код

Описание уязвимости	Уязвимость веб-интерфейса управления операционной системы SonicOS связана с возможностью переполнения буфера в стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Вендор	SonicWall
Наименование ПО	SonicOS
Версия ПО	до 7.0.1-5050 включительно до 7.0.1-R579 включительно до 6.5.4.4-44v-21-1452 включительно
Тип ПО	Операционная система
Операционные системы и аппаратные платформы	SonicWall SonicOS до 7.0.1-5050 включительно TZ270 SonicWall SonicOS до 7.0.1-5050 включительно TZ270W SonicWall SonicOS до 7.0.1-5050 включительно TZ370 SonicWall SonicOS до 7.0.1-5050 включительно TZ370W SonicWall SonicOS до 7.0.1-5050 включительно TZ470 SonicWall SonicOS до 7.0.1-5050 включительно TZ470W SonicWall SonicOS до 7.0.1-5050 включительно TZ570 SonicWall SonicOS до 7.0.1-5050 включительно TZ570W SonicWall SonicOS до 7.0.1-5050 включительно TZ570P SonicWall SonicOS до 7.0.1-5050 включительно TZ670 SonicWall SonicOS до 7.0.1-5050 включительно NSa 2700 SonicWall SonicOS до 7.0.1-5050 включительно NSa 3700 SonicWall SonicOS до 7.0.1-5050 включительно NSa 4700 SonicWall SonicOS до 7.0.1-5050 включительно NSa 5700 SonicWall SonicOS до 7.0.1-5050 включительно NSa 6700 SonicWall SonicOS до 7.0.1-5050 включительно NSsp 10700 SonicWall SonicOS до 7.0.1-5050 включительно NSsp 11700 SonicWall SonicOS до 7.0.1-5050 включительно NSsp 13700 SonicWall SonicOS до 7.0.1-5050 включительно NSv 270 SonicWall SonicOS до 7.0.1-5050 включительно NSv 470 SonicWall SonicOS до 7.0.1-5050 включительно NSv 870 SonicWall SonicOS до 7.0.1-R579 включительно NSsp 15700 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 10 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 25 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 50 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 100 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 200 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 300 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 400 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 800 SonicWall SonicOS до 6.5.4.4-44v-21-1452 включительно NSv 1600
Тип ошибки	Переполнение буфера в стеке, Запись за границами буфера
Идентификатор типа ошибки	CWE-121 CWE-787
Класс уязвимости	Уязвимость кода
Дата выявления	25.03.2022
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,7) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,4)
Возможные меры по устранению уязвимости	Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование средств межсетевого экранирования уровня веб-приложений; - использование механизма «белых» списков для предоставления доступа к веб-интерфейсу управления только с доверенных IP-адресов; - ограничение доступа к межсетевому экрану из внешних сетей (Интернет); - использование VPN для организации удаленного доступа. Использование рекомендаций: https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://psirt.global.sonicwall.com/vuln-detail/SNWLID-2022-0003
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2022-22274
Прочая информация	Данные уточняются

Последние изменения