01.02.2024

BDU:2024-00927 (CVE-2024-23832) — уязвимость реализации протокола LDAP веб-приложения для развёртывания распределённых социальных сетей Mastodon

По данным БДУ ФСТЭК России, по состоянию на 05.02.2024.

Критический — 9.4/10 Устранена

Уязвимость реализации протокола LDAP веб-приложения для развёртывания распределённых социальных сетей Mastodon связана с недостатком в механизме подтверждения источника данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти процедуру аутентификации

Кого касается и что делать

Уязвимое ПО: Mastodon (Mastodon g) — версии до 3.5.17, от 4.0.0 до 4.0.13, от 4.1.0 до 4.1.13, от 4.2.0 до 4.2.5
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2024-00927 · CVE-2024-23832
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.4; CVSS 2.0 — 9.7)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, высокое влияние на целостность и доступность
Наименование ФСТЭК	Уязвимость реализации протокола LDAP веб-приложения для развёртывания распределённых социальных сетей Mastodon, позволяющая нарушителю обойти процедуру аутентификации
Даты	Опубликована: 05.02.2024 · Обновлена ФСТЭК: 05.02.2024 · Выявлена: 01.02.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-290 — обход аутентификации посредством спуфинга; CWE-346 — ошибка подтверждения источника данных
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: подмена при взаимодействии, нарушение аутентификации

Уязвимое ПО

Mastodon (Mastodon g) — версии до 3.5.17, от 4.0.0 до 4.0.13, от 4.1.0 до 4.1.13, от 4.2.0 до 4.2.5 · сетевое программное средство

Возможные меры по устранению уязвимости

Обновление.

Использование рекомендаций
github.com/mastodon/mastodon/commit/1726085db5cd73dd30953…
github.com/mastodon/mastodon/releases/tag/v4.2.5
github.com/mastodon/mastodon/releases/tag/v4.1.13
github.com/mastodon/mastodon/releases/tag/v4.0.13
github.com/mastodon/mastodon/releases/tag/v3.5.17

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: