BDU:2022-00738 (CVE-2022-22620) — уязвимость модуля отображения веб-страниц WebKit браузера Safari
По данным БДУ ФСТЭК России, по состоянию на 24.09.2024.
Высокий — 8.8/10 Существует эксплойт Есть инциденты ИБ Устранена
Уязвимость модуля отображения веб-страниц WebKit браузера Safari связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; Safari (Apple) — версии до 15.3; и ещё 5 позиций
- Что делать: уязвимость устранена производителем — применить исправления: support.apple.com, support.apple.com, webkitgtk.org
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2022-00738 · CVE-2022-22620 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость модуля отображения веб-страниц WebKit браузера Safari, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 15.02.2022 · Обновлена ФСТЭК: 24.09.2024 · Выявлена: 10.02.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-416 — использование после освобождения |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
- Safari (Apple) — до 15.3 · прикладное ПО информационных систем
- iOS (Apple) — до 15.3.1 · операционная система
- iPadOS (Apple) — до 15.3.1 · операционная система
- WebKitGTK (The WebKitGTK Team) — до 2.34.6-1 · прикладное ПО информационных систем
- WPE WebKit (The WPE WebKit Team) — до 2.34.6-1 · прикладное ПО информационных систем
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.4.3 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для программных продуктов Apple Inc.: support.apple.com/en-us/HT213091; support.apple.com/en-us/HT213093
- Для WebKitGTK: использование рекомендаций производителя: webkitgtk.org/security/WSA-2022-0003.html
- Для WPE WebKit: использование рекомендаций производителя: webkitgtk.org/security/WSA-2022-0003.html
- Для Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2022-22620
- Для ОС Astra Linux: использование рекомендаций производителя; wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17; wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
- Для ОСОН Основа: Обновление программного обеспечения webkit2gtk до версии 2.34.6-1~deb10u1
Источники
- www.cybersecurity-help.cz/vdb/SB2022021014
- support.apple.com/en-us/HT213091
- support.apple.com/en-us/HT213093
- www.kaspersky.ru/blog/webkit-vulnerability-cve-2022-22620…
- wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
- wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.3/
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
- www.cisa.gov/sites/default/files/csv/known_exploited_vuln…
