BDU:2021-00559 (CVE-2020-14147) — уязвимость реализации функции getnum() резидентной системы управления базами данных класса NoSQL Redis
По данным БДУ ФСТЭК России, по состоянию на 08.02.2021.
Высокий — 7.7/10 Устранена
Уязвимость реализации функции getnum() резидентной системы управления базами данных класса NoSQL Redis вызвана целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код, используя скриптовый язык программирования Lua
Кого касается и что делать
- Уязвимое ПО: Communications Operations Monitor (Oracle) — версии 3.4, 4.2.0, 4.3.0, 4.1; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10; SUSE Package Hub for SUSE Linux Enterprise (Novell) — версии 12; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, www.oracle.com
Сведения об уязвимости
| Идентификаторы | BDU:2021-00559 · CVE-2020-14147 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.7; CVSS 2.0 — 6.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на доступность |
| Наименование ФСТЭК | Уязвимость реализации функции getnum() резидентной системы управления базами данных класса NoSQL Redis, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код |
| Даты | Опубликована: 08.02.2021 · Обновлена ФСТЭК: 08.02.2021 · Выявлена: 19.07.2020 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-190 — целочисленное переполнение или циклический сдвиг |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Communications Operations Monitor (Oracle) — версии 3.4, 4.2.0, 4.3.0, 4.1 · сетевое программное средство
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — 10 · операционная система
- SUSE Package Hub for SUSE Linux Enterprise (Novell) — 12 · прикладное ПО информационных систем
- Redis (Redis Labs) — до 6.0.3 · СУБД, ПО для разработки ИИ
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Redis: github.com/antirez/redis/commit/ef764dde1cca2f25d00686673…; github.com/antirez/redis/pull/6875
- Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujan2021.html
- Для программных продуктов Novell Inc.: lists.opensuse.org/opensuse-security-announce/2020-07/msg…
- Для Debian: www.debian.org/security/2020/dsa-4731
