BDU:2022-06024 (CVE-2022-2873) — уязвимость функции ismt_access() драйвера i2c-ismt ядра операционных систем Linux
По данным БДУ ФСТЭК России, по состоянию на 06.05.2024.
Средний — 5.5/10 Устранена
Уязвимость функции ismt_access() драйвера i2c-ismt ядра операционных систем Linux связана с некорректным вычислением размера буфера при обработке записи блока данных I2C_SMBUS_BLOCK_DATA. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью системного вызова ioctl I2C_SMBUS
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7; Red Hat Enterprise Linux (Red Hat) — версии 8, 9; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 3 позиции
- Что делать: уязвимость устранена производителем — применить исправления: lore.kernel.org, access.redhat.com, repo.red-soft.ru
Сведения об уязвимости
| Идентификаторы | BDU:2022-06024 · CVE-2022-2873 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.6) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность |
| Наименование ФСТЭК | Уязвимость функции ismt_access() драйвера i2c-ismt ядра операционных систем Linux, позволяющая нарушителю вызвать отказ в обслуживании |
| Даты | Опубликована: 30.09.2022 · Обновлена ФСТЭК: 06.05.2024 · Выявлена: 29.07.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-125 — чтение за границами буфера; CWE-131 — неверное вычисление размера буфера |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7 · операционная система
- Red Hat Enterprise Linux (Red Hat) — версии 8, 9 · операционная система
- РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
- Linux (Сообщество свободного программного обеспечения) — до 5.19 rc8 · операционная система
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.7 · операционная система
- Oracle Exadata (Oracle) — до 21.2.23.0.0 · СУБД
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Linux: lore.kernel.org/lkml/20220729093451.551672-1-zheyuma97@gm…
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2022-2873
- Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
- Для ОСОН ОСнова Оnyx (версия 2.7): Обновление программного обеспечения linux до версии 5.15.86-1.osnova211
- Для ОС Astra Linux Special Edition 1.7: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17
- Для Astra Linux 1.6 «Смоленск»: обновить пакет linux-5.15 до 5.15.0-83.astra1+ci36 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
- Для программных продуктов Oracle Corp.: Обновление до версии 21.2.23.0.0
Источники
- access.redhat.com/security/cve/cve-2022-2873
- nvd.nist.gov/vuln/detail/CVE-2022-2873
- lore.kernel.org/lkml/20220729093451.551672-1-zheyuma97@gm…
- www.cybersecurity-help.cz/vdb/SB2022082915
- vuldb.com/ru/
- repo.red-soft.ru/redos/7.3c/x86_64/updates/
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.7/
- wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17
- wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
- login.oracle.com/
