BDU:2019-04744 (CVE-2019-10207) — уязвимость драйверов drivers/bluetooth/hci_ath.c

По данным БДУ ФСТЭК России, по состоянию на 01.06.2020.

Средний — 4.7/10 Устранена

Уязвимость драйверов drivers/bluetooth/hci_ath.c, drivers/bluetooth/hci_bcm.c, drivers/bluetooth/hci_intel.c, drivers/bluetooth/hci_ldisc.c, drivers/bluetooth/hci_mrvl.c, drivers/bluetooth/hci_qca.c, drivers/bluetooth/hci_uart.h для UART-подключаемых адаптеров Bluetooth ядра операционных систем Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью вызова функции ioctl

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7, 8; Ubuntu (Canonical) — версии 16.04 LTS, 18.04 LTS, 19.04; Альт Линукс СПТ (АО «ИВК») — версии 7.0; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: cve.basealt.ru, altsp.su, bugzilla.redhat.com

Сведения об уязвимости

Идентификаторы	BDU:2019-04744 · CVE-2019-10207
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 4.7; CVSS 2.0 — 4.0)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость драйверов drivers/bluetooth/hci_ath.c, drivers/bluetooth/hci_bcm.c, drivers/bluetooth/hci_intel.c, drivers/bluetooth/hci_ldisc.c, drivers/bluetooth/hci_mrvl.c, drivers/bluetooth/hci_qca.c, drivers/bluetooth/hci_uart.h для UART-подключаемых адаптеров Bluetooth ядра операционных систем Linux, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 17.12.2019 · Обновлена ФСТЭК: 01.06.2020 · Выявлена: 29.07.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-476 — разыменование указателя NULL
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии 7, 8 · операционная система
Ubuntu (Canonical) — версии 16.04 LTS, 18.04 LTS, 19.04 · операционная система
Альт Линукс СПТ (АО «ИВК») — 7.0 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
Альт 8 СП Сервер (АО «ИВК») — операционная система
Альт 8 СП Рабочая станция (АО «ИВК») — операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Альт Линукс СПТ: cve.basealt.ru/otchet-po-obnovleniiam-ot-06082019.html
Для Альт 8 СП Сервер и Альт 8 СП Рабочая станция: altsp.su/obnovleniya-bezopasnosti/
Для программных продуктов Red Hat Inc.: bugzilla.redhat.com/show_bug.cgi
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2019-10207
Для Ubuntu: usn.ubuntu.com/4115-1/; usn.ubuntu.com/4118-1/; usn.ubuntu.com/4145-1/; usn.ubuntu.com/4147-1/

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: