BDU:2019-02967 (CVE-2019-10141) — уязвимость функции node_cache.find_node() демона аппаратного самоанализа Ironic Inspector платформы для создания

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Критический — 9.1/10 Устранена

Уязвимость функции node_cache.find_node() демона аппаратного самоанализа Ironic Inspector SDN-платформы OpenStack связана с непринятием мер по защите структуры запроса SQL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Red Hat OpenStack Platform (Red Hat) — версии 9.0, 10.0, 13.0, 14.0; Ironic Inspector (Сообщество свободного программного обеспечения) — версии до 5.0.2, от 5.1.0 до 6.0.3, от 6.1.0 до 7.2.4, от 8.0.0 до 8.0.3, от 8.1.0 до 8.2.1
Что делать: уязвимость устранена производителем — применить исправления: docs.openstack.org, docs.openstack.org, docs.openstack.org

Сведения об уязвимости

Идентификаторы	BDU:2019-02967 · CVE-2019-10141
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.1; CVSS 2.0 — 9.4)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на целостность и доступность
Наименование ФСТЭК	Уязвимость функции node_cache.find_node() демона аппаратного самоанализа Ironic Inspector платформы для создания облачных сервисов OpenStack, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 22.08.2019 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 15.05.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-89 — непринятие мер по защите структуры запроса SQL (атаки типа "внедрение SQL")
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Red Hat OpenStack Platform (Red Hat) — версии 9.0, 10.0, 13.0, 14.0 · ПО программно-аппаратного средства
Ironic Inspector (Сообщество свободного программного обеспечения) — версии до 5.0.2, от 5.1.0 до 6.0.3, от 6.1.0 до 7.2.4, от 8.0.0 до 8.0.3, от 8.1.0 до 8.2.1 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Ironic Inspector: docs.openstack.org/releasenotes/ironic-inspector/ocata.html; docs.openstack.org/releasenotes/ironic-inspector/pike.html; docs.openstack.org/releasenotes/ironic-inspector/queens.html; docs.openstack.org/releasenotes/ironic-inspector/rocky.html; docs.openstack.org/releasenotes/ironic-inspector/stein.html
Для программных продуктов Red Hat Inc.: bugzilla.redhat.com/show_bug.cgi

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: