BDU:2022-04307 (CVE-2022-32278) — уязвимость библиотеки приложений exo среды рабочего стола XFCE

По данным БДУ ФСТЭК России, по состоянию на 18.10.2022.

Уязвимость библиотеки приложений exo среды рабочего стола XFCE связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданного файла.desktop

Кого касается и что делать

• Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; XFCE (Сообщество свободного программного обеспечения) — версии 4.16; exo (Сообщество свободного программного обеспечения) — версии 4.16.4; и ещё 1 позиция
• Что делать: уязвимость устранена производителем — применить исправления: gitlab.xfce.org, security-tracker.debian.org

Сведения об уязвимости

Идентификаторы	BDU:2022-04307 · CVE-2022-32278
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость библиотеки приложений exo среды рабочего стола XFCE, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 13.07.2022 · Обновлена ФСТЭК: 18.10.2022 · Выявлена: 08.06.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-254 — элементы безопасности
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

• Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
• XFCE (Сообщество свободного программного обеспечения) — 4.16 · прикладное ПО информационных систем
• exo (Сообщество свободного программного обеспечения) — 4.16.4 · прикладное ПО информационных систем
• ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5.1 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для XFCE и exo: gitlab.xfce.org/xfce/exo/-/commit/c71c04ff5882b2866a0d850…
• Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2022-32278
• Для ОСОН Основа: Обновление программного обеспечения exo до версии 0.12.4-1+deb10u1

Источники

• www.cybersecurity-help.cz/vdb/SB2022062038
• gitlab.xfce.org/xfce/exo/-/commit/c71c04ff5882b2866a0d850…
• lists.debian.org/debian-lts-announce/2022/06/msg00018.html
• www.debian.org/security/2022/dsa-5164
• security-tracker.debian.org/tracker/CVE-2022-32278
• github.com/repology/repology-rules/blob/master/910.vulner…
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5.1/