BDU:2023-03470 (CVE-2023-24539) — уязвимость языка программирования Go

По данным БДУ ФСТЭК России, по состоянию на 05.12.2024.

Высокий — 7.3/10 Устранена

Уязвимость языка программирования Go связана с ошибками при обработке специальных символов "<>" в контексте CSS. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 8, 9; openSUSE Tumbleweed (Novell); Red Hat Storage (Red Hat) — версии 3; и ещё 33 позиции
Что делать: уязвимость устранена производителем — применить исправления: go.dev, pkg.go.dev, go.dev

Сведения об уязвимости

Идентификаторы	BDU:2023-03470 · CVE-2023-24539
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.3; CVSS 2.0 — 7.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость языка программирования Go, связанная с ошибками при обработке специальных символов "<>" в контексте CSS, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 29.06.2023 · Обновлена ФСТЭК: 05.12.2024 · Выявлена: 11.05.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-74 — неверная нейтрализация особых элементов в выходных данных, используемых входящим компонентом («инъекция»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии 8, 9 · операционная система
openSUSE Tumbleweed (Novell) — операционная система
Red Hat Storage (Red Hat) — 3 · прикладное ПО информационных систем
Red Hat Quay (Red Hat) — 3 · прикладное ПО информационных систем
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12 · операционная система
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
OpenSUSE Leap (Novell) — 15.4 · операционная система
SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 15 SP3, 15 SP4, 15 SP5, 15 SP6 · операционная система
Red Hat Openshift Data Foundation (Red Hat) — 4 · прикладное ПО информационных систем
Red Hat OpenShift GitOps (Red Hat) — прикладное ПО информационных систем
Suse Linux Enterprise Server (Novell) — версии 15 SP4, 15 SP3-LTSS, 15 SP5, 15 SP6 · операционная система
Red Hat OpenShift Container Platform (Red Hat) — версии 4, 4.13 · прикладное ПО информационных систем
Suse Linux Enterprise Desktop (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · операционная система
Red Hat OpenStack Platform (Red Hat) — 16.2 · ПО программно-аппаратного средства
SUSE Manager Retail Branch Server (Novell) — 4.3 · сетевое программное средство
SUSE Manager Proxy (Novell) — 4.3 · прикладное ПО информационных систем
SUSE Manager Server (Novell) — 4.3 · прикладное ПО информационных систем
SUSE Linux Enterprise High Performance Computing (Novell) — версии 15 SP4, 15 SP3-ESPOS, 15 SP3-LTSS, 15 SP5, 15 SP6 · прикладное ПО информационных систем
SUSE Enterprise Storage (Novell) — 7.1 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Development Tools (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · прикладное ПО информационных систем
Red Hat Web Terminal (Red Hat) — прикладное ПО информационных систем
SUSE Linux Enterprise Real Time (Novell) — 15 SP3 · операционная система
Red Hat OpenShift Data Science (RHODS) (Red Hat) — прикладное ПО информационных систем, ПО виртуализации/ПО виртуального программно-аппаратного средства
Red Hat OpenShift Virtualization (Red Hat) — 4 · ПО виртуализации/ПО виртуального программно-аппаратного средства
Go (The Go Project) — версии от 1.20.0 до 1.20.4, до 1.19.9 · прикладное ПО информационных систем
Red Hat Migration Toolkit for Containers (Red Hat) — 1.7 · прикладное ПО информационных систем
Red Hat OpenShift Dev Spaces (Red Hat) — прикладное ПО информационных систем
Self Node Remediation (Red Hat) — прикладное ПО информационных систем
Red Hat OpenShift Pipelines (Red Hat) — прикладное ПО информационных систем
SUSE Liberty Linux (Novell) — 9 · операционная система
Red Hat OpenShift distributed tracing (Red Hat) — 2 · прикладное ПО информационных систем
Red Hat Ansible Automation Platform (Red Hat) — 2.3 for RHEL 8 · сетевое программное средство
Migration Toolkit for Virtualization (Red Hat) — 2.4 · ПО виртуализации/ПО виртуального программно-аппаратного средства
multicluster engine for Kubernetes (Red Hat) — 2.3 for RHEL 8 · прикладное ПО информационных систем
Red Hat Advanced Cluster Management for Kubernetes (Red Hat) — 2.8 for RHEL 8 · сетевое программное средство
Red Hat Service Interconnect (Red Hat) — версии 1 for RHEL 8, 1 for RHEL 9 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций

Для Go: go.dev/cl/491615; pkg.go.dev/vuln/GO-2023-1751; go.dev/issue/59720
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2023-24539
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2023-24539
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2023-24539.html

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: