BDU:2019-03897 (CVE-2019-3856) — уязвимость библиотеки libssh2

По данным БДУ ФСТЭК России, по состоянию на 30.09.2024.

Высокий — 8.8/10 Устранена

Уязвимость библиотеки libssh2 связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путем подключения к SSH-серверу

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии Server 6, Desktop 6, Workstation 6, Desktop 7, Workstation 7, Server 7, Server AUS 7.6, Server TUS 7.6, Server — AUS 7.6, for Scientific Computing 7, for Power, little endian — Extended Update Supp 7.5, for Power, big endian — Extended Update Support 7.5, for IBM z Systems — Extended Update Support 7.5, for IBM System z (Structure A) 7, for ARM 64 7 и др.; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.5 «Смоленск», 1.6 «Смоленск»; OpenSUSE Leap (Novell) — версии 42.3, 15.0; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: www.libssh2.org, lists.opensuse.org, lists.opensuse.org

Сведения об уязвимости

Идентификаторы	BDU:2019-03897 · CVE-2019-3856
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.3)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость библиотеки libssh2, связанная с целочисленным переполнением, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 04.11.2019 · Обновлена ФСТЭК: 30.09.2024 · Выявлена: 03.12.2018
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-190 — целочисленное переполнение или циклический сдвиг
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии Server 6, Desktop 6, Workstation 6, Desktop 7, Workstation 7, Server 7, Server AUS 7.6, Server TUS 7.6, Server — AUS 7.6, for Scientific Computing 7, for Power, little endian — Extended Update Supp 7.5, for Power, big endian — Extended Update Support 7.5, for IBM z Systems — Extended Update Support 7.5, for IBM System z (Structure A) 7, for ARM 64 7 и др. · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.5 «Смоленск», 1.6 «Смоленск» · операционная система
OpenSUSE Leap (Novell) — версии 42.3, 15.0 · операционная система
Fedora (Fedora Project) — 28 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — 8 · операционная система
libssh2 (Сообщество свободного программного обеспечения) — до 1.8.1 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для libssh2: www.libssh2.org/CVE-2019-3856.html
Для программных продуктов Novell Inc.: lists.opensuse.org/opensuse-security-announce/2019-03/msg…; lists.opensuse.org/opensuse-security-announce/2019-04/msg…
Для программных продуктов Red Hat Inc.: bugzilla.redhat.com/show_bug.cgi
Для Debian GNU/Linux: lists.debian.org/debian-lts-announce/2019/03/msg00032.html
Для программных продуктов Fedora Project: lists.fedoraproject.org/archives/list/package-announce@li…
Для Astra Linux: Обновление программного обеспечения (пакета libssh2) до 1.7.0-1+deb9u1 или более поздней версии
Для ОС Astra Linux 1.6 «Смоленск»: обновить пакет libssh2 до 1.7.0-1+deb9u1 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/pages/viewpage.action

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: