BDU:2020-00356 (CVE-2019-19947) — уязвимость ядра операционных систем Linux
По данным БДУ ФСТЭК России, по состоянию на 29.01.2025.
Средний — 4.6/10 Устранена
Уязвимость ядра операционных систем Linux связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации с помощью драйвера USB устройства (drivers/net/can/usb/kvaser_usb/kvaser_usb_leaf.c driver)
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 8; Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — версии 8.1 «Ленинград»; ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — версии до 16.01.2023; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: git.kernel.org, kernel.org, kernel.org
Сведения об уязвимости
| Идентификаторы | BDU:2020-00356 · CVE-2019-19947 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 4.6; CVSS 2.0 — 4.9) |
| Вектор CVSS 3.1 | AV:P/ нужен физический доступ, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость ядра операционных систем Linux, связанная с отсутствием защиты служебных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| Даты | Опубликована: 29.01.2020 · Обновлена ФСТЭК: 29.01.2025 · Выявлена: 08.12.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-200 — раскрытие информации; CWE-908 — использование неинициализированного ресурса |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — 8 · операционная система
- Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — 8.1 «Ленинград» · операционная система
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
- Linux (Сообщество свободного программного обеспечения) — версии от 4.15 до 4.19.91 включительно, от 4.20 до 5.4.6 включительно, от 4.0 до 4.4.227 включительно, от 4.5 до 4.9.227 включительно, от 4.10 до 4.14.184 включительно · операционная система
ОС и платформы
- Linux (Сообщество свободного программного обеспечения) — до 5.4.6 включительно
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Linux: git.kernel.org/linus/da2311a6385c3b499da2ed5d9be59ce331fa…; github.com/torvalds/linux/commit/da2311a6385c3b499da2ed5d…; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.185; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.92; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.228; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.228; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.4.7
- Для Debian GNU/Linux: lists.debian.org/debian-lts-announce/2020/01/msg00013.html
- Для ОС ОН «Стрелец»: Обновление программного обеспечения linux до версии 5.4.123-1~bpo10+1.osnova162.strelets
- Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
Источники
- www.openwall.com/lists/oss-security/2019/12/24/1
- access.redhat.com/security/cve/cve-2019-19947
- cve.mitre.org/cgi-bin/cvename.cgi
- git.kernel.org/linus/da2311a6385c3b499da2ed5d9be59ce331fa…
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.185
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.92
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.228
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.228
- kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.4.7
- lists.debian.org/debian-lts-announce/2020/01/msg00013.html
