BDU:2020-01808 (CVE-2019-17343) — уязвимость концепции physmap аппаратной виртуализации гипервизора Xen
По данным БДУ ФСТЭК России, по состоянию на 21.11.2023.
Высокий — 7.0/10 Устранена
Уязвимость концепции physmap аппаратной виртуализации гипервизора Xen связана с недостатком механизма проверки вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить несанкционированный доступ к конфиденциальным данным, вызвать отказ в обслуживании и оказать воздействие на целостность данных
Кого касается и что делать
- Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 5; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; и ещё 15 позиций
- Что делать: уязвимость устранена производителем — применить исправления: access.redhat.com, www.suse.com
Сведения об уязвимости
| Идентификаторы | BDU:2020-01808 · CVE-2019-17343 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.0; CVSS 2.0 — 6.9) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость концепции physmap аппаратной виртуализации гипервизора Xen, позволяющая нарушителю получить несанкционированный доступ к конфиденциальным данным, вызвать отказ в обслуживании и оказать воздействие на целостность данных |
| Даты | Опубликована: 27.04.2020 · Обновлена ФСТЭК: 21.11.2023 · Выявлена: 07.10.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-20 — недостаточная проверка вводимых данных |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- Red Hat Enterprise Linux (Red Hat) — 5 · операционная система
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8 · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Suse Linux Enterprise Desktop (Novell) — 12 SP4 · операционная система
- SUSE Enterprise Storage (Novell) — версии 4, 5 · прикладное ПО информационных систем
- SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP2, 12 SP2-BCL, 12 SP2-ESPOS, 12 SP2-LTSS, 12 SP3, 12 SP4, 12 SP1, 12 SP1-LTSS, 11 SP4-LTSS, 12 SP3-BCL, 12 SP3-LTSS, 12 SP3-ESPOS · операционная система
- SUSE Linux Enterprise Software Development Kit (Novell) — версии 12 SP4, 12 SP5 · прикладное ПО информационных систем
- SUSE OpenStack Cloud (Novell) — версии 7, 8, Crowbar 8 · прикладное ПО информационных систем
- Suse Linux Enterprise Server (Novell) — версии 12 SP4, 12 SP2-BCL, 12 SP2-ESPOS, 11 SP4-LTSS, 12 SP1-LTSS, 12 SP2-LTSS, 12 SP3-LTSS, 12 SP3-BCL, 12 SP5, 12 SP3-ESPOS · операционная система
- SUSE Linux Enterprise Module for Basesystem (Novell) — 15 · прикладное ПО информационных систем
- OpenSUSE Leap (Novell) — 15.0 · операционная система
- SUSE CaaS Platform (Novell) — 3.0 · прикладное ПО информационных систем
- SUSE Linux Enterprise Point of Sale (Novell) — версии 12 SP2-CLIENT, 11 SP3 · прикладное ПО информационных систем
- SUSE Linux Enterprise Module for Server Applications (Novell) — 15 · прикладное ПО информационных систем
- HPE Helion Openstack (Novell) — 8 · прикладное ПО информационных систем
- SUSE Linux Enterprise High Performance Computing (Novell) — 12 SP5 · прикладное ПО информационных систем
- Xen (The Linux Foundation) — до 4.11.2 включительно · ПО виртуализации/ПО виртуального программно-аппаратного средства
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для xen: Обновление программного обеспечения до 4.11.3+24-g14b62ab3e5-1 или более поздней версии
- Для Debian: Обновление программного обеспечения (пакета xen) до 4.8.5.final+shim4.10.4-1+deb9u12 или более поздней версии
- Для Astra Linux: Обновление программного обеспечения (пакета xen) до 4.8.5.final+shim4.10.4-1+deb9u12 или более поздней версии
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2019-17343
- Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2019-17343/
- Для ОС ОН «Стрелец»: Обновление программного обеспечения xen до версии 4.8.5.final+shim4.10.4-1+deb9u12
Источники
- xenbits.xen.org/xsa/advisory-288.html
- nvd.nist.gov/vuln/detail/CVE-2019-17343
- security-tracker.debian.org/tracker/CVE-2019-17343
- wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
- access.redhat.com/security/cve/CVE-2019-17343
- www.suse.com/security/cve/CVE-2019-17343/
- strelets.net/patchi-i-obnovleniya-bezopasnosti
