BDU:2020-04881 (CVE-2019-10218) — уязвимость файловой системы Samba
По данным БДУ ФСТЭК России, по состоянию на 29.01.2025.
Средний — 6.5/10 Устранена
Уязвимость файловой системы Samba существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к файлам и папкам за пределами сетевых путей SMB
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; Suse Linux Enterprise Desktop (Novell) — версии 12 SP4; Suse Linux Enterprise Server (Novell) — версии 12 SP4, 12 SP2-BCL, 12 SP2-ESPOS, 11 SP4-LTSS, 12 SP1-LTSS, 12 SP2-LTSS, 12 SP3-LTSS, 12 SP3-BCL, 12 SP5, 12 SP3-ESPOS; и ещё 9 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.samba.org, www.suse.com, access.redhat.com
Сведения об уязвимости
| Идентификаторы | BDU:2020-04881 · CVE-2019-10218 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 7.1) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на целостность |
| Наименование ФСТЭК | Уязвимость файловой системы Samba, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю получить доступ к файлам и папкам за пределами сетевых путей SMB |
| Даты | Опубликована: 29.10.2020 · Обновлена ФСТЭК: 29.01.2025 · Выявлена: 06.11.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Suse Linux Enterprise Desktop (Novell) — 12 SP4 · операционная система
- Suse Linux Enterprise Server (Novell) — версии 12 SP4, 12 SP2-BCL, 12 SP2-ESPOS, 11 SP4-LTSS, 12 SP1-LTSS, 12 SP2-LTSS, 12 SP3-LTSS, 12 SP3-BCL, 12 SP5, 12 SP3-ESPOS · операционная система
- Fedora (Fedora Project) — версии 29, 30, 31 · операционная система
- Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
- OpenSUSE Leap (Novell) — 15.0 · операционная система
- SUSE Linux Enterprise High Availability (Novell) — версии 12 SP2, 12 SP3, 12 SP4, 15, 15 SP1, 12 SP1, 12 SP5 · прикладное ПО информационных систем
- OpenShift Container Platform (Red Hat) — версии 4.1, 3.11, 3.9, 3.10 · прикладное ПО информационных систем
- Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — 8.1 «Ленинград» · операционная система
- Samba (Samba Team) — версии до 4.11.2, до 4.10.10, до 4.9.15 · сетевое программное средство
- Альт 8 СП (АО «ИВК») — операционная система
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Samba: www.samba.org/samba/security/CVE-2019-10218.html
- Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2019-10218/
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2019-11251
- Для Astra Linux: Обновление программного обеспечения (пакета samba) до 2:4.1.17+dfsg-2+deb8u1 или более поздней версии
- Для ОС ОН «Стрелец»: Обновление программного обеспечения samba до версии 2:4.13.17+repack-1osnova1strelets
- Для Astra Linux 1.6 «Смоленск»: обновить пакет samba до 2:4.9.5+dfsg-5+deb10u4astra.se7 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
- Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
- Для ОС Astra Linux: обновить пакет samba до 2:4.9.5+dfsg-5+deb10u4astra.se7 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
