BDU:2020-01716 (CVE-2018-1000858) — уязвимость перекрестного запроса «CSRF» программы для шифрования информации и создания электронных цифровых подписей GNU

По данным БДУ ФСТЭК России, по состоянию на 23.04.2020.

Средний — 6.3/10 Устранена

Уязвимость перекрестного запроса«CSRF» программы для шифрования информации и создания электронных цифровых подписей GNU Privacy Guard (GnuPG) связана с недостатками обработки запросов на авторизацию приложений. Эксплуатация уязвимости может позволить нарушителю совершить атаку типа отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 12.04 LTS, 18.04 LTS, 18.10, 14.04 ESM; Red Hat Enterprise Linux (Red Hat) — версии 5, 6, 7, 8; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; и ещё 4 позиции
Что делать: уязвимость устранена производителем — применить исправления: people.canonical.com, usn.ubuntu.com, security-tracker.debian.org

Сведения об уязвимости

Идентификаторы	BDU:2020-01716 · CVE-2018-1000858
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.3; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L атака по сети, низкая сложность, без прав, требуется участие пользователя, ограниченное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость перекрестного запроса «CSRF» программы для шифрования информации и создания электронных цифровых подписей GNU Privacy Guard (GnuPG), позволяющая нарушителю совершить атаку типа отказ в обслуживании
Даты	Опубликована: 23.04.2020 · Обновлена ФСТЭК: 23.04.2020 · Выявлена: 10.01.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-352 — межсайтовая фальсификация запросов
Класс уязвимости	Уязвимость кода · Способ эксплуатации: подмена при взаимодействии

Уязвимое ПО

Ubuntu (Canonical) — версии 12.04 LTS, 18.04 LTS, 18.10, 14.04 ESM · операционная система
Red Hat Enterprise Linux (Red Hat) — версии 5, 6, 7, 8 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
OpenSUSE Leap (Novell) — 15.0 · операционная система · платформа: 32-bit
SUSE Linux Enterprise Module for Basesystem (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
GnuPG (Сообщество свободного программного обеспечения) — от 2.1.12 до 2.2.11 · программное средство защиты
Wind River Linux (Wind River Systems) — версии LTS 17, LTS 18, 7, 8, 9 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Ubuntu: people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-1…; usn.ubuntu.com/3853-1/
Для Debian: security-tracker.debian.org/tracker/CVE-2018-1000858
Для SUSE: www.suse.com/security/cve/CVE-2018-1000858/
Для Red Hat: access.redhat.com/security/cve/CVE-2018-1000858
Для Wind River: support2.windriver.com/index.php
Для GnuPG: sektioneins.de/en/advisories/advisory-012018-gnupg-wkd.html

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: