BDU:2021-00723 (CVE-2020-10725) — уязвимость функции virtio_dev_rx_batch_packed набора библиотек и драйверов для быстрой обработки пакетов dpdk

По данным БДУ ФСТЭК России, по состоянию на 07.12.2022.

Высокий — 7.7/10 Устранена

Уязвимость функции virtio_dev_rx_batch_packed набора библиотек и драйверов для быстрой обработки пакетов dpdk связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Ubuntu (Canonical) — версии 18.04 LTS, 19.10, 20.04 LTS; OpenSUSE Leap (Novell) — версии 15.1; и ещё 4 позиции
Что делать: уязвимость устранена производителем — применить исправления: bugs.dpdk.org, lists.fedoraproject.org, www.oracle.com

Сведения об уязвимости

Идентификаторы	BDU:2021-00723 · CVE-2020-10725
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.7; CVSS 2.0 — 6.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость функции virtio_dev_rx_batch_packed набора библиотек и драйверов для быстрой обработки пакетов dpdk, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 16.02.2021 · Обновлена ФСТЭК: 07.12.2022 · Выявлена: 20.05.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-665 — неверная инициализация
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
Ubuntu (Canonical) — версии 18.04 LTS, 19.10, 20.04 LTS · операционная система
OpenSUSE Leap (Novell) — 15.1 · операционная система
Fedora (Fedora Project) — 32 · операционная система
Enterprise Communications Broker (Oracle) — версии 3.1, 3.2 · сетевое программное средство
dpdk (Сообщество свободного программного обеспечения) — до 19.11 включительно · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5.2 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций производителя

Для dpdk: bugs.dpdk.org/show_bug.cgi
Для Fedora Project: lists.fedoraproject.org/archives/list/package-announce@li…
Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujan2021.html
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2020-10725
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2020-10725
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2020-10725/
Для Ubuntu: ubuntu.com/security/CVE-2020-10725
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения dpdk до версии 20.11.6-1~deb11u1

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: