BDU:2019-04233 (CVE-2018-10545) — уязвимость дочерних FPM-процессов интерпретатора языка программирования PHP

По данным БДУ ФСТЭК России, по состоянию на 25.11.2019.

Средний — 4.7/10 Устранена

Уязвимость дочерних FPM-процессов интерпретатора языка программирования PHP связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю обойти проверку доступа opcache и получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 14.04 LTS, 16.04 LTS, 17.10, 18.04 LTS, 12.04 ESM; Red Hat Enterprise Linux (Red Hat) — версии 7; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 7; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: wiki.astralinux.ru, www.php.net, www.php.net

Сведения об уязвимости

Идентификаторы	BDU:2019-04233 · CVE-2018-10545
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 4.7; CVSS 2.0 — 3.8)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость дочерних FPM-процессов интерпретатора языка программирования PHP, позволяющая нарушителю обойти проверку доступа opcache и получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 25.11.2019 · Обновлена ФСТЭК: 25.11.2019 · Выявлена: 29.03.2018
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-200 — раскрытие информации
Класс уязвимости	Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации

Уязвимое ПО

Ubuntu (Canonical) — версии 14.04 LTS, 16.04 LTS, 17.10, 18.04 LTS, 12.04 ESM · операционная система
Red Hat Enterprise Linux (Red Hat) — 7 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 7 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
Storage Automation Store (NetApp) — прикладное ПО информационных систем
PHP (PHP Group) — версии до 5.6.35, от 7.0.0 до 7.0.29, от 7.1.0 до 7.1.16, от 7.2.0 до 7.2.4 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Astra Linux: wiki.astralinux.ru/pages/viewpage.action
Для PHP: www.php.net/ChangeLog-5.php; www.php.net/ChangeLog-7.php
Для Debian GNU/Linux: www.debian.org/security/2018/dsa-4240; lists.debian.org/debian-lts-announce/2018/05/msg00004.html; lists.debian.org/debian-lts-announce/2018/06/msg00005.html
Для программных продутов Red Hat Inc.: bugzilla.redhat.com/show_bug.cgi
Для программных продутов NetApp Inc.: security.netapp.com/advisory/ntap-20180607-0003/
Для Ubuntu: usn.ubuntu.com/3646-1/; usn.ubuntu.com/3646-2/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: