BDU:2022-00298 (CVE-2022-22747) — уязвимость почтового клиента Thunderbird, браузеров Firefox и Firefox ESR

По данным БДУ ФСТЭК России, по состоянию на 03.04.2024.

Уязвимость почтового клиента Thunderbird, браузеров Firefox и Firefox ESR связана с неправильной проверкой ввода пустой последовательности pkcs7, передаваемой как часть данных сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданный сертификат и выполнить атаку типа «отказ в обслуживании» (DoS)

Кого касается и что делать

• Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7, 8, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 7 позиций
• Что делать: уязвимость устранена производителем — применить исправления: www.mozilla.org, www.mozilla.org, www.mozilla.org

Сведения об уязвимости

Уязвимое ПО

• Red Hat Enterprise Linux (Red Hat) — версии 7, 8, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support · операционная система · платформа: IA-32
• Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
• РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
• Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
• Firefox (Mozilla) — до 96 · прикладное ПО информационных систем
• Firefox ESR (Mozilla) — до 91.5 · прикладное ПО информационных систем
• Thunderbird (Mozilla) — до 91.5 · прикладное ПО информационных систем
• Альт 8 СП (АО «ИВК») — операционная система
• ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.4.2, до 2.4.3 · операционная система
• ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для программных продуктов Mozilla Corp.: www.mozilla.org/en-US/security/advisories/mfsa2022-02/; www.mozilla.org/en-US/security/advisories/mfsa2022-01/; www.mozilla.org/en-US/security/advisories/mfsa2022-03/
• Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
• Для Debian: security-tracker.debian.org/tracker/CVE-2022-22747
• Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2022-22747
• Для ОС Альт 8 СП: Обновление программного обеспечения до актуальной версии
• Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 91.5.0esr+repack-1~deb10u1.osnova1
• Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.5.0+repack-2~deb10u1.osnova1
• Для ОСОН Основа: Обновление программного обеспечения nss до версии 2:3.61+repack-1+deb11u2.osnova1
• Для ОС Astra Linux Special Edition 1.7: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17
• Для Astra Linux Special Edition 4.7 для архитектуры ARM: wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0727SE47
• Для ОС ОН «Стрелец»: Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets; Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets; Обновление программного обеспечения nss до версии 2:3.26.2-1.1+deb9u5

Источники

• repo.red-soft.ru/redos/7.3c/x86_64/updates/
• access.redhat.com/security/cve/CVE-2022-22747
• altsp.su/obnovleniya-bezopasnosti/
• security-tracker.debian.org/tracker/CVE-2022-22747
• www.mozilla.org/en-US/security/advisories/mfsa2022-01/
• www.mozilla.org/en-US/security/advisories/mfsa2022-02/
• www.mozilla.org/en-US/security/advisories/mfsa2022-03/
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.2/
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.3/
• wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17