BDU:2023-05109 (CVE-2022-25634) — уязвимость функции LoadLibrary кроссплатформенного фреймворка для разработки программного обеспечения Qt
По данным БДУ ФСТЭК России, по состоянию на 04.09.2023.
Высокий — 7.5/10 Устранена
Уязвимость функции LoadLibrary кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с возможностью обхода каталога. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить доступ к защищаемой информации
Кого касается и что делать
- Уязвимое ПО: Qt (The Qt Company) — версии до 5.15.8 включительно, от 6.0.0 до 6.2.3 включительно; Kramer VIA (Kramer Electronics) — версии 4.0.1.1328
- Что делать: уязвимость устранена производителем — применить исправления: codereview.qt-project.org, codereview.qt-project.org
Сведения об уязвимости
| Идентификаторы | BDU:2023-05109 · CVE-2022-25634 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость функции LoadLibrary кроссплатформенного фреймворка для разработки программного обеспечения Qt, позволяющая нарушителю получить доступ к защищаемой информации |
| Даты | Опубликована: 04.09.2023 · Обновлена ФСТЭК: 04.09.2023 · Выявлена: 02.03.2023 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- Qt (The Qt Company) — версии до 5.15.8 включительно, от 6.0.0 до 6.2.3 включительно · прикладное ПО информационных систем
- Kramer VIA (Kramer Electronics) — 4.0.1.1328 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Если обновиться нельзя
для Kramer VIA:
— использование антивирусных средств защиты;
— мониторинг действий пользователей;
— запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
— применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций
- Для Qt: codereview.qt-project.org/c/qt/qtbase/+/396440; codereview.qt-project.org/c/qt/qtbase/+/396689
