03.04.2019

BDU:2020-01576 (CVE-2019-11235) — уязвимость RADIUS-сервера FreeRADIUS

По данным БДУ ФСТЭК России, по состоянию на 15.02.2023.

Критический — 9.8/10 Устранена

Уязвимость RADIUS-сервера FreeRADIUS связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7, 8; OpenSUSE Leap (Novell) — версии 42.3, 15.0; Ubuntu (Canonical) — версии 18.04 LTS, 18.10, 19.04; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: freeradius.org, freeradius.org, usn.ubuntu.com

Сведения об уязвимости

Идентификаторы	BDU:2020-01576 · CVE-2019-11235
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость RADIUS-сервера FreeRADIUS, связанная с недостаточной проверкой подлинности данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 16.04.2020 · Обновлена ФСТЭК: 15.02.2023 · Выявлена: 03.04.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-345 — недостаточная проверка подлинности данных
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение аутентификации

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии 7, 8 · операционная система
OpenSUSE Leap (Novell) — версии 42.3, 15.0 · операционная система
Ubuntu (Canonical) — версии 18.04 LTS, 18.10, 19.04 · операционная система
FreeRADIUS (FreeRADIUS Development Team) — до 3.0.19 · сетевое программное средство
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.6 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для FreeRADIUS: freeradius.org/release_notes/; freeradius.org/security/
Для Ubuntu: usn.ubuntu.com/3954-1/
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2019-11235/
Для программных продуктов Red Hat Inc.: bugzilla.redhat.com/show_bug.cgi
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения freeradius до версии 3.0.17+dfsg-1.1+deb10u1

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: