BDU:2022-00892 (CVE-2022-0543) — уязвимость системы управления базами данных (СУБД) Redis операционных систем Debian GNU/Linux

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Высокий — 8.1/10 Публичный эксплойт Есть инциденты ИБ Устранена

Уязвимость системы управления базами данных (СУБД) Redis операционных систем Debian GNU/Linux связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Redis (Redis Labs) — версии до 5.0.14; ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.4.3, до 2.6; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: bugs.debian.org, lists.debian.org, www.debian.org
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-00892 · CVE-2022-0543
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 7.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость системы управления базами данных (СУБД) Redis операционных систем Debian GNU/Linux, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 25.02.2022 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 18.02.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-94 — неверное управление генерацией кода (Внедрение кода)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
Redis (Redis Labs) — до 5.0.14 · СУБД, ПО для разработки ИИ
ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.4.3, до 2.6 · операционная система
ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для redis: bugs.debian.org/cgi-bin/bugreport.cgi
Для Debian GNU/Linux: lists.debian.org/debian-security-announce/2022/msg00048.html; www.debian.org/security/2022/dsa-5081
Для ОСОН Основа: Обновление программного обеспечения redis до версии 5:5.0.14-1+deb10u2
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения redis до версии 5:7.0.5-1
Для ОС ОН «Стрелец»: Обновление программного обеспечения redis до версии 5:6.0.16-1+deb11u2strelets

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: