13.09.2021

BDU:2022-03586 (CVE-2021-25262) — уязвимость браузера Yandex Browser Lite для Android

По данным БДУ ФСТЭК России, по состоянию на 22.06.2022.

Высокий — 7.5/10 Устранена

Уязвимость браузера Yandex Browser Lite для Android связана с ошибками представления информации пользовательским интерфейсом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, подменять значение адресной строки за счет IDN-спуфинга

Кого касается и что делать

Уязвимое ПО: Яндекс Бразуер (ООО «Яндекс») — версии до 21.3.0
Что делать: уязвимость устранена производителем — применить исправления: yandex.com

Сведения об уязвимости

Идентификаторы	BDU:2022-03586 · CVE-2021-25262
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость браузера Yandex Browser Lite для Android, позволяющая нарушителю подменять значение адресной строки за счет IDN-спуфинга
Даты	Опубликована: 22.06.2022 · Обновлена ФСТЭК: 22.06.2022 · Выявлена: 13.09.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-451 — UI Ложное представление критической информации пользовательским интерфейсом.
Класс уязвимости	Уязвимость кода · Способ эксплуатации: подмена при взаимодействии