BDU:2019-02381 (CVE-2019-7308) — уязвимость ядра операционных систем Linux

По данным БДУ ФСТЭК России, по состоянию на 28.05.2024.

Средний — 5.6/10 Устранена

Уязвимость ядра операционных систем Linux (kernel/bpf/verifyier.c) связана со смещением указателя за пределы допустимых значений. Эксплуатация уязвимости может позволить нарушителю реализовать атаки по побочным каналам

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 14.04, 16.04, 18.10, 18.04; OpenSUSE Leap (Novell) — версии 15; Astra Linux Common Edition (ООО «РусБИТех-Астра») — версии 2.12 «Орёл»; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: git.kernel.org, git.kernel.org, bugs.chromium.org

Сведения об уязвимости

Идентификаторы	BDU:2019-02381 · CVE-2019-7308
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.6; CVSS 2.0 — 4.4)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость ядра операционных систем Linux, связанная со смещением указателя за пределы допустимых значений, позволяющая нарушителю реализовать атаки по побочным каналам
Даты	Опубликована: 04.07.2019 · Обновлена ФСТЭК: 28.05.2024 · Выявлена: 02.01.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-189 — ошибки, возникающие при обработке чисел; CWE-200 — раскрытие информации
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных, несанкционированный сбор информации

Уязвимое ПО

Ubuntu (Canonical) — версии 14.04, 16.04, 18.10, 18.04 · операционная система
OpenSUSE Leap (Novell) — 15 · операционная система
Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
Linux (Сообщество свободного программного обеспечения) — версии от 4.14.0 до 4.14.112 включительно, от 4.15 до 4.19.18 включительно, от 4.20.0 до 4.20.5 включительно · операционная система

ОС и платформы

Linux (Сообщество свободного программного обеспечения) — до 4.20.6

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций:
git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.gi…
git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.gi…
bugs.chromium.org/p/project-zero/issues/detail
kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.113
kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.19
kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.20.6

Для Astra Linux: Обновление программного обеспечения (пакета linux) до 4.19.152-1 или более поздней версии

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: