СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
27.06.2024
#Dev#ИБ

BDU:2024-07887 (CVE-2024-6381) — уязвимость функции bson_strfreev() библиотеки libbson драйвера системы управления базами данных MongoDB C Driver

По данным БДУ ФСТЭК России, по состоянию на 04.03.2026.

Средний — 4.0/10 Устранена

Уязвимость функции bson_strfreev() библиотеки libbson драйвера системы управления базами данных MongoDB C Driver связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации

Кого касается и что делать

  • Уязвимое ПО: Ubuntu (Canonical) — версии 20.04 LTS, 22.04 LTS, 24.04 LTS; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12, 13; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 4 позиции
  • Что делать: уязвимость устранена производителем — применить исправления: jira.mongodb.org, github.com, repo.red-soft.ru

Сведения об уязвимости

Идентификаторы BDU:2024-07887 · CVE-2024-6381
Уровень опасности Средний (базовая оценка CVSS 3.1 — 4.0; CVSS 2.0 — 2.1)
Вектор CVSS 3.1 AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N
нужен локальный доступ, низкая сложность, без прав, без участия пользователя, ограниченное влияние на целостность
Наименование ФСТЭК Уязвимость функции bson_strfreev() библиотеки libbson драйвера системы управления базами данных MongoDB C Driver, позволяющая нарушителю оказать воздействие на целостность защищаемой информации
Даты Опубликована: 09.10.2024 · Обновлена ФСТЭК: 04.03.2026 · Выявлена: 27.06.2024
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Данные уточняются
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-680 — переполнение буфера в связи с целочисленным переполнением
Класс уязвимости Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

  • Ubuntu (Canonical) — версии 20.04 LTS, 22.04 LTS, 24.04 LTS · операционная система
  • Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12, 13 · операционная система
  • РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8, 3.8 · операционная система
  • MongoDB C Driver (MongoDB) — до 1.26.2 · прикладное ПО информационных систем
  • libbson (MongoDB) — 1.26.2 · прикладное ПО информационных систем
  • ОСОН ОСнова Оnyx (АО «НППКТ») — до 3.1 · операционная система

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных