02.03.2022

Уязвимость BDU:2022-01715

Идентификатор: BDU:2022-01715.

Наименование уязвимости: Уязвимость среды выполнения контейнеров Containerd, связанная с недостатками процедуры аутентификации, позволяющая нарушителю раскрыть защищаемую информацию.

Описание уязвимости: Уязвимость среды выполнения контейнеров Containerd связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию
Уязвимое ПО: Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5 | Операционная система Novell Inc. openSUSE Tumbleweed — | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Fedora Project Fedora 34 | Операционная система Novell Inc. OpenSUSE Leap 15.3 | Операционная система Debian GNU/Linux 11 | Операционная система Fedora Project Fedora 35 | Операционная система Canonical Ltd. Ubuntu 21.10 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система Novell Inc. OpenSUSE Leap 15.4 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP3 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.0 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.1 | Операционная система АО «ИВК» Альт 8 СП — | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd до 1.4.13 | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd от 1.5.0 до 1.5.10 | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd от 1.6.0 до 1.6.1 | Операционная система Fedora Project Fedora 36 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 |

Возможные меры по устранению:
Использование рекомендаций:

Для Containerd:
https://github.com/containerd/containerd/commit/10f428dac7cec44c864e1b830a4623af27a9fc70
https://github.com/containerd/containerd/releases/tag/v1.4.13
https://github.com/containerd/containerd/releases/tag/v1.5.10
https://github.com/containerd/containerd/releases/tag/v1.6.1
https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AUDQUQBZJGBWJPMRVB6QCCCRF7O3O4PA/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HFTS2EF3S7HNYSNZSEJZIJHPRU7OPUV3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OCCARJ6FU4MWBTXHZNMS7NELPDBIX2VO/

Для Debian GNU/Linux:
https://www.debian.org/security/2022/dsa-5091
https://security-tracker.debian.org/tracker/CVE-2022-23648

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-23648
https://ubuntu.com/security/notices/USN-5311-1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-23648.html

Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-23648. SB2022030722.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/containerd/containerd/commit/10f428dac7cec44c864e1b830a4623af27a9fc70
https://github.com/containerd/containerd/releases/tag/v1.4.13
https://github.com/containerd/containerd/releases/tag/v1.5.10
https://github.com/containerd/containerd/releases/tag/v1.6.1
https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7
https://packetstormsecurity.com/files/166421/containerd-Image-Volume-Insecure-Handling.html
https://www.debian.org/security/2022/dsa-5091
https://security-tracker.debian.org/tracker/CVE-2022-23648
https://ubuntu.com/security/CVE-2022-23648
https://ubuntu.com/security/notices/USN-5311-1
https://www.openwall.com/lists/oss-security/2022/03/02/1
https://www.suse.com/security/cve/CVE-2022-23648.html
https://www.cybersecurity-help.cz/vdb/SB2022030722
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AUDQUQBZJGBWJPMRVB6QCCCRF7O3O4PA/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HFTS2EF3S7HNYSNZSEJZIJHPRU7OPUV3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OCCARJ6FU4MWBTXHZNMS7NELPDBIX2VO/
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
http://packetstormsecurity.com/files/166421/containerd-Image-Volume-Insecure-Handling.html
https://altsp.su/obnovleniya-bezopasnosti/

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: