20.05.2022

Уязвимость BDU:2022-03097

Идентификатор: BDU:2022-03097.

Наименование уязвимости: Уязвимость метода Array браузеров Mozilla Firefox и Mozilla Firefox ESR и почтового клиента Thunderbird, позволяющая нарушителю выполнить произвольный JavaScript-код в привилегированном контексте.

Описание уязвимости: Уязвимость метода Array браузеров Mozilla Firefox и Mozilla Firefox ESR и почтового клиента Thunderbird связана с ошибками при генерации кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный JavaScript-код в привилегированном контексте
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 7 | Операционная система Debian GNU/Linux 9 | Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP1 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-BCL | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5 | Операционная система Debian GNU/Linux 10 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-ESPOS | Операционная система Novell Inc. Suse Linux Enterprise Server 15-LTSS | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP1-BCL | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS | Операционная система Novell Inc. OpenSUSE Leap 15.3 | Операционная система Debian GNU/Linux 11 | Операционная система Canonical Ltd. Ubuntu 21.10 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.4 Extended Update Support | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система ФССП России ОС ТД АИС ФССП России ИК6 | Операционная система Novell Inc. OpenSUSE Leap 15.4 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP2-BCL | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Прикладное ПО информационных систем Mozilla Corp. Firefox до 100.0.2 | Прикладное ПО информационных систем Mozilla Corp. Firefox ESR до 91.9.1 | Прикладное ПО информационных систем Mozilla Corp. Firefox до 100.3 | Прикладное ПО информационных систем Mozilla Corp. Thunderbird до 91.9.1 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP2-LTSS | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.5 | Операционная система ООО «Юбитех» UBLinux до 2204 | Операционная система АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023 |

Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
— использование средств антивирусной защиты с функцией контроля доступа к веб-ресурсам;
— контролируемый доступ в сеть Интернет – регламентация разрешенных сетевых ресурсов и соединений;
— запуск веб-браузера от имени пользователя с минимальными возможными привилегиями в операционной системе;
— использование альтернативных веб-браузеров;
— применение систем обнаружения и предотвращения вторжений.

Информация от разработчика:
Для программных продуктов Mozilla Corp.:
https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-1802

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Для ОСОН Основа:

обновление программного обеспечения firefox-esr до версии 91.10.0esr+repack-1~deb10u1.osnova1

обновление программного обеспечения thunderbird до версии 1:91.10.0+repack-1~deb10u1.osnova1

https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/

Для UBLinux:
https://security.ublinux.ru/AVG-40

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-1802
https://ubuntu.com/security/notices/USN-5434-1
https://ubuntu.com/security/notices/USN-5435-1

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-1802

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-1802.html
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD

Для ОС ОН «Стрелец»:
Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets
Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-1802. ZDI-22-799. MFSA 2022-19.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://www.mozilla.org/en-US/security/advisories/mfsa2022-19/
https://security-tracker.debian.org/tracker/CVE-2022-1802
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://goslinux.fssp.gov.ru/2726972/

https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
https://www.zerodayinitiative.com/advisories/ZDI-22-799/
https://security.ublinux.ru/AVG-40
https://ubuntu.com/security/CVE-2022-1802
https://ubuntu.com/security/notices/USN-5434-1
https://ubuntu.com/security/notices/USN-5435-1
https://access.redhat.com/security/cve/cve-2022-1802
https://www.suse.com/security/cve/CVE-2022-1802.html
https://ubuntu.com/security/CVE-2022-1802
https://ubuntu.com/security/notices/USN-5434-1
https://ubuntu.com/security/notices/USN-5435-1
https://access.redhat.com/security/cve/cve-2022-1802
https://www.suse.com/security/cve/CVE-2022-1802.html
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: