Уязвимость BDU:2023-00698
Идентификатор: BDU:2023-00698.
Наименование уязвимости: Уязвимость программного обеспечения серверов веб-приложений LiteSpeed и OpenLiteSpeed, связанная с использованием ненадёжного пути поиска, позволяющая нарушителю повысить свои привилегии.
Описание уязвимости: Уязвимость программного обеспечения серверов веб-приложений LiteSpeed и OpenLiteSpeed связана с использованием ненадёжного пути поиска. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии
Уязвимое ПО: Сетевое средство, Сетевое программное средство LiteSpeed Technologies OpenLiteSpeed от 1.7.0 до 1.7.16.1 |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 27.10.2022.
CVSS 2.0: AV:N/AC:L/Au:S/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование средств межсетевого экранирования уровня веб-приложений;
— использование антивирусного программного обеспече-ния;
— минимизация привилегий пользователей для ограниче-ния доступа к конфигурационным файлам, содержащим пути доступа к используемым каталогам;
— использование сторонних средств контроля доступа пользователей (VPN и др.) к программному продукту из общедоступных сетей (Интернет)..
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-0074.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://blog.litespeedtech.com/2022/11/14/cve-2022-0072-cve-2022-0073-and-cve-2022-0074/
https://github.com/litespeedtech/ols-dockerfiles/blob/master/template/Dockerfile#L29
https://www.sentinelone.com/blog/dragon-raas-pro-russian-hacktivist-group-aims-to-build-on-the-five-families-cybercrime-reputation/
