Уязвимость BDU:2024-00480
Идентификатор: BDU:2024-00480.
Наименование уязвимости: Уязвимость функции sessionReadRecord файла ext/session/sqlite3session.c системы управления базами данных SQLite, позволяющая нарушителю оказать влияние на конфиденциальность, целостность и доступность.
Описание уязвимости: Уязвимость функции sessionReadRecord файла ext/session/sqlite3session.c системы управления базами данных SQLite связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Debian GNU/Linux 10 | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Debian GNU/Linux 11 | Операционная система Debian GNU/Linux 12 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система Fedora Project Fedora 38 | Операционная система Fedora Project Fedora 39 | Операционная система Canonical Ltd. Ubuntu 23.04 | Операционная система АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4 | Операционная система АО «ИВК» АЛЬТ СП 10 — | Операционная система Canonical Ltd. Ubuntu 23.10 | СУБД Hipp, Wyrick & Company, Inc. SQLite до 3.43.0 включительно | Прикладное ПО информационных систем Project Harbor harbor 2.7.0 |
Наименование ОС и тип аппаратной платформы: Red Hat Enterprise Linux 8 | Debian GNU/Linux 10 | Ubuntu 2004 LTS | Debian GNU/Linux 11 | Debian GNU/Linux 12 | РЕД ОС 73 | Astra Linux Special Edition 17 | Ubuntu 2204 LTS | Red Hat Enterprise Linux 9 | Astra Linux Special Edition 47 ARM | Fedora 38 | Fedora 39 | Ubuntu 2304 | РОСА ХРОМ 124 | АЛЬТ СП 10 — | Ubuntu 2310 |
Дата выявления: 29.12.2023.
CVSS 2.0: AV:N/AC:L/Au:N/C:P/I:P/A:P
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— ограничение доступа к интерфейсу СУБД из внешних сетей;
— использование средств межсетевого экранирования для ограничения возможности удалённого подключения к СУБД.
Использование рекомендаций производителя:
Для SQLite:
https://sqlite.org/src/info/0e4e7a05c4204b47
https://sqlite.org/forum/forumpost/5bcbf4571c
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-7104
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-7104
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-6566-1
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для ОС Astra Linux:
обновить пакет sqlite3 до 3.34.1-3+ci202402082153+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет sqlite3 до 3.34.1-3+ci202402082153+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2667.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2023-7104.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AYONA2XSNFMXLAW4IHLFI5UVV3QRNG5K/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/D6C2HN4T2S6GYNTAUXLH45LQZHK7QPHP/
https://security.netapp.com/advisory/ntap-20240112-0008/
https://sqlite.org/forum/forumpost/5bcbf4571c
https://sqlite.org/src/info/0e4e7a05c4204b47
https://vuldb.com/?ctiid.248999
https://vuldb.com/?id.248999
https://security-tracker.debian.org/tracker/CVE-2023-7104
https://access.redhat.com/security/cve/CVE-2023-7104
https://ubuntu.com/security/notices/USN-6566-1
https://altsp.su/obnovleniya-bezopasnosti/
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
https://abf.rosa.ru/advisories/ROSA-SA-2025-2667
