BDU:2023-03471 (CVE-2023-24540) — уязвимость языка программирования Go

По данным БДУ ФСТЭК России, по состоянию на 05.12.2024.

Критический — 9.8/10 Устранена

Уязвимость языка программирования Go связана с ошибками при обработке пробельных символов в контексте JavaScript. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 8, 9; openSUSE Tumbleweed (Novell); Red Hat Quay (Red Hat) — версии 3; и ещё 31 позиция
Что делать: уязвимость устранена производителем — применить исправления: go.dev, go.dev, pkg.go.dev

Сведения об уязвимости

Идентификаторы	BDU:2023-03471 · CVE-2023-24540
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость языка программирования Go, связанная с ошибками при обработке пробельных символов в контексте JavaScript, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Даты	Опубликована: 29.06.2023 · Обновлена ФСТЭК: 05.12.2024 · Выявлена: 11.05.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-74 — неверная нейтрализация особых элементов в выходных данных, используемых входящим компонентом («инъекция»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: инъекция

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии 8, 9 · операционная система
openSUSE Tumbleweed (Novell) — операционная система
Red Hat Quay (Red Hat) — 3 · прикладное ПО информационных систем
Red Hat AMQ Broker (Red Hat) — 7 · прикладное ПО информационных систем
Red Hat 3scale API Management Platform (Red Hat) — 2 · прикладное ПО информационных систем
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12 · операционная система
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
OpenSUSE Leap (Novell) — 15.4 · операционная система
Red Hat OpenShift GitOps (Red Hat) — прикладное ПО информационных систем
Suse Linux Enterprise Server (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · операционная система
Red Hat OpenShift Container Platform (Red Hat) — версии 4, 4.10, 4.13, 4.11, 4.12 · прикладное ПО информационных систем
Suse Linux Enterprise Desktop (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · операционная система
SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · операционная система
Red Hat OpenStack Platform (Red Hat) — 16.2 · ПО программно-аппаратного средства
SUSE Manager Retail Branch Server (Novell) — 4.3 · сетевое программное средство
SUSE Manager Server (Novell) — 4.3 · прикладное ПО информационных систем
SUSE Linux Enterprise High Performance Computing (Novell) — версии 15 SP4, 15 SP3-ESPOS, 15 SP3-LTSS, 15 SP5, 15 SP6 · прикладное ПО информационных систем
SUSE Enterprise Storage (Novell) — 7.1 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Development Tools (Novell) — версии 15 SP4, 15 SP5, 15 SP6 · прикладное ПО информационных систем
OpenShift Developer Tools and Services (Red Hat) — прикладное ПО информационных систем
SUSE Linux Enterprise Real Time (Novell) — 15 SP3 · операционная система
Red Hat OpenShift Data Science (RHODS) (Red Hat) — прикладное ПО информационных систем, ПО виртуализации/ПО виртуального программно-аппаратного средства
Migration Toolkit for Virtualization (Red Hat) — ПО виртуализации/ПО виртуального программно-аппаратного средства
OpenShift Serverless (Red Hat) — прикладное ПО информационных систем
Go (The Go Project) — версии от 1.20.0 до 1.20.4, до 1.19.9 · прикладное ПО информационных систем
Red Hat Migration Toolkit for Containers (Red Hat) — 1.7 · прикладное ПО информационных систем
Red Hat Developer Tools (Red Hat) — прикладное ПО информационных систем
OpenShift Dev Spaces (Red Hat) — прикладное ПО информационных систем
Red Hat OpenShift Pipelines (Red Hat) — прикладное ПО информационных систем
SUSE Liberty Linux (Novell) — версии 9, 8 · операционная система
Red Hat Ansible Automation Platform (Red Hat) — 2.3 for RHEL 8 · сетевое программное средство
Red Hat Ceph Storage (Red Hat) — 5.3 · прикладное ПО информационных систем
multicluster engine for Kubernetes (Red Hat) — 2.3 for RHEL 8 · прикладное ПО информационных систем
Openshift Service Mesh (Red Hat) — 2.4 for RHEL 8 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций

Для Go: go.dev/issue/59721; go.dev/cl/491616; pkg.go.dev/vuln/GO-2023-1752
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2023-24540
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2023-24540
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2023-24540.html

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: