Уязвимость BDU:2022-04072
Идентификатор: BDU:2022-04072.
Наименование уязвимости: Уязвимость программного средства создания веб-служб go-restful, связанная с обходом авторизации посредством ключа, контролируемого пользователем, позволяющая наруштителю повысить свои привилегии.
Описание уязвимости: Уязвимость программного средства создания веб-служб go-restful связана с обходом авторизации посредством ключа, контролируемого пользователем. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии
Уязвимое ПО: ПО виртуализации/ПО виртуального программно-аппаратного средства Red Hat Inc. Red Hat Virtualization 4 | Прикладное ПО информационных систем Red Hat Inc. OpenShift Container Platform 3.11 | Прикладное ПО информационных систем Red Hat Inc. OpenShift Container Platform 4 | Прикладное ПО информационных систем Red Hat Inc. Openshift Service Mesh 2 | Операционная система Fedora Project Fedora 35 | Прикладное ПО информационных систем Red Hat Inc. Ansible Automation Platform 1.2 | Прикладное ПО информационных систем Red Hat Inc. Ansible Automation Platform 2.0 | Прикладное ПО информационных систем Red Hat Inc. Red Hat Openshift Data Foundation 4 | Операционная система Fedora Project Fedora 36 | Прикладное ПО информационных систем Red Hat Inc. Red Hat Openshift Container Storage 4 | Прикладное ПО информационных систем Red Hat Inc. Openshift Service Mesh 2.1.0 | Сетевое средство, Прикладное ПО информационных систем, Сетевое программное средство go-restful до 3.8.0 |
Наименование ОС и тип аппаратной платформы: Fedora 35 | Fedora 36 |
Дата выявления: 08.06.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:N
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,3)
Возможные меры по устранению:
Использование рекомендаций:
Для emicklei/go-restful:
https://github.com/emicklei/go-restful/commit/fd3c327a379ce08c68ef18765bdc925f5d9bad10
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/575BLJ3Y2EQBRNTFR2OSQQ6L2W6UCST3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OBDD3Q23RCGAGHIXUCWBU6N3S4RNAKXB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZY2SLWOQR4ZURQ7UBRZ7JIX6H6F5JHJR/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-1996.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-1996.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/emicklei/go-restful/commit/fd3c327a379ce08c68ef18765bdc925f5d9bad10
https://huntr.dev/bounties/be837427-415c-4d8c-808b-62ce20aa84f1
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/575BLJ3Y2EQBRNTFR2OSQQ6L2W6UCST3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OBDD3Q23RCGAGHIXUCWBU6N3S4RNAKXB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZY2SLWOQR4ZURQ7UBRZ7JIX6H6F5JHJR/
https://access.redhat.com/security/cve/CVE-2022-1996
