24.07.2024

BDU:2024-05760 (CVE-2024-41110) — уязвимость плагинов авторизации (AuthZ) программного обеспечения автоматизации развёртывания и управления

По данным БДУ ФСТЭК России, по состоянию на 04.03.2026.

Критический — 9.9/10 Устранена

Уязвимость плагинов авторизации (AuthZ) программного обеспечения автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker Engine связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии, путем отправки специально созданного запроса API с Content-Length, равным 0

Кого касается и что делать

Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; Docker (Docker) — версии до 18.09.1, от 19.03 до 19.03.15 включительно, от 20.10 до 20.10.27 включительно, от 23.0 до 23.0.14, от 24.0.0 до 24.0.9 включительно, от 25.0.5 до 25.0.5 включительно, от 26.0.0 до 26.0.2 включительно, от 27.0.0 до 27.0.3 включительно, до 27.1.1, от 26.1.4 до 26.1.4 включительно; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2024-05760 · CVE-2024-41110
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.9; CVSS 2.0 — 9.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость плагинов авторизации (AuthZ) программного обеспечения автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker Engine, позволяющая нарушителю повысить свои привилегии
Даты	Опубликована: 25.07.2024 · Обновлена ФСТЭК: 04.03.2026 · Выявлена: 24.07.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-187 — частичное сравнение; CWE-444 — непоследовательная интерпретация HTTP-запросов ('Контрабанда HTTP-запросов'); CWE-863 — неправильная авторизация
Класс уязвимости	Уязвимость кода · Способ эксплуатации: нарушение аутентификации

Уязвимое ПО

РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
Docker (Docker) — версии до 18.09.1, от 19.03 до 19.03.15 включительно, от 20.10 до 20.10.27 включительно, от 23.0 до 23.0.14, от 24.0.0 до 24.0.9 включительно, от 25.0.5 до 25.0.5 включительно, от 26.0.0 до 26.0.2 включительно, от 27.0.0 до 27.0.3 включительно, до 27.1.1, от 26.1.4 до 26.1.4 включительно · прикладное ПО информационных систем, ПО для разработки ИИ
ОСОН ОСнова Оnyx (АО «НППКТ») — до 3.1 · операционная система

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

Для Astra Linux Special Edition 1.7: wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения docker.io до версии 26.1.5+dfsg1-9

Пользователи Mirantis Container Runtime и коммерческих продуктов Docker, а также не использующие плагины для авторизации, не подвержены данной уязвимости

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: