BDU:2022-05490 (CVE-2022-2998) — уязвимость функции Browser Creation операционной системы Chrome OS
По данным БДУ ФСТЭК России, по состоянию на 17.01.2023.
Высокий — 8.8/10 Существует эксплойт Есть инциденты ИБ Устранена
Уязвимость функции Browser Creation операционной системы Chrome OS связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7; Chrome OS (Google) — версии до 96.0.4664.219
- Что делать: уязвимость устранена производителем — применить исправления: chromereleases.googleblog.com, wiki.astralinux.ru, wiki.astralinux.ru
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2022-05490 · CVE-2022-2998 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость функции Browser Creation операционной системы Chrome OS, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 02.09.2022 · Обновлена ФСТЭК: 17.01.2023 · Выявлена: 31.08.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-416 — использование после освобождения |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7 · операционная система
- Chrome OS (Google) — до 96.0.4664.219 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций:
chromereleases.googleblog.com/2022/08/long-term-support-c…
- Для Astra Linux Special Edition 1.7: wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17
- Для Astra Linux Special Edition 4.7: wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
- Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
