17.06.2020

BDU:2021-02072 (CVE-2020-11896) — уязвимость реализации туннелирования IPv4 стека протоколов Treck TCP/IP

По данным БДУ ФСТЭК России, по состоянию на 16.04.2021.

Критический — 10.0/10 Публичный эксплойт Устранена

Уязвимость реализации туннелирования IPv4 стека протоколов Treck TCP/IP существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Treck TCP/IP (Treck) — версии до 6.0.1.66; ASR 5000 (Cisco Systems) — версии до 21.5.27; ASR 5500 (Cisco Systems) — версии до 21.20.2; и ещё 143 позиции
Что делать: уязвимость устранена производителем — применить исправления: www.treck.com, tools.cisco.com, support.hp.com
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2021-02072 · CVE-2020-11896
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 10.0; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость реализации туннелирования IPv4 стека протоколов Treck TCP/IP, существующая из-за недостаточной проверки входных данных, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 16.04.2021 · Обновлена ФСТЭК: 16.04.2021 · Выявлена: 17.06.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Treck TCP/IP (Treck) — до 6.0.1.66 · сетевое программное средство
ASR 5000 (Cisco Systems) — до 21.5.27 · ПО сетевого программно-аппаратного средства
ASR 5500 (Cisco Systems) — до 21.20.2 · сетевое средство, ПО сетевого программно-аппаратного средства
Cisco Virtual Packet Core (Cisco Systems) — до 21.20.2 · сетевое программное средство
HP Color Laser MFP 178/179 (HP) — до 3.82.01.08 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M154 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M155 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M252 (HP) — до 20200623 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M254 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M255 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro M452 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Coolor LaserJet Pro MFP M176 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Coolor LaserJet Pro MFP M177 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M180 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M181 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M182 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M183 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M277 (HP) — до 20200623 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M274 (HP) — до 20200623 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M280 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M281 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M282 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M283 (HP) — до 20200603 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M377 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Color LaserJet Pro MFP M477 (HP) — до 20200612 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Laser MFP 133 (HP) — до 3.82.01.11 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Laser MFP 135 (HP) — до 3.82.01.11 · сетевое средство, ПО сетевого программно-аппаратного средства
HP Laser MFP 137 (HP) — до 3.82.01.11 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro MFP M125 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro MFP M126 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro MFP M127 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro MFP M128 (HP) — до 20200531 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet MFP M72625-M72630 (HP) — до 3.82.11.04 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Multifunction Printer series M1130 (HP) — до 20200617 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Multifunction Printer series M1200 (HP) — до 20200617 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro 400 M401 (HP) — до 20200714 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro 400 MFP M425 (HP) — до 20200714 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro 500 color MFP M570 (HP) — до 20200625 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M102 (HP) — до 20200605 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M104 (HP) — до 20200605 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M106 (HP) — до 20200605 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M12w (HP) — до 20200617 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M15 (HP) — до 20200609 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M16 (HP) — до 20200609 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M17 (HP) — до 20200609 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M201 (HP) — до 20200619 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M202 (HP) — до 20200619 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M206 (HP) — до 20200605 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M118 (HP) — до 20200605 · сетевое средство, ПО сетевого программно-аппаратного средства
HP LaserJet Pro M225 (HP) — до 20200619 · сетевое средство, ПО сетевого программно-аппаратного средства
… и ещё 96 позиций

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Treck TCP/IP: www.treck.com/
Для программных продуктов Cisco Systems Inc.: tools.cisco.com/security/center/content/CiscoSecurityAdvi…
Для Hewlett-Packard Development Company L.P.: support.hp.com/us-en/document/c06640149

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: