18.07.2019

BDU:2020-01384 (CVE-2019-17351) — уязвимость драйвера drivers/xen/balloon.c ядра операционной системы Linux

По данным БДУ ФСТЭК России, по состоянию на 30.05.2024.

Средний — 6.5/10 Устранена

Уязвимость драйвера drivers/xen/balloon.c ядра операционной системы Linux связана с неконтролируемым расходом ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 16.04 LTS, 14.04; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: xenbits.xen.org, people.canonical.com, wiki.astralinux.ru

Сведения об уязвимости

Идентификаторы	BDU:2020-01384 · CVE-2019-17351
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 4.6)
Вектор CVSS 3.1	AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость драйвера drivers/xen/balloon.c ядра операционной системы Linux, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 10.04.2020 · Обновлена ФСТЭК: 30.05.2024 · Выявлена: 18.07.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-400 — неконтролируемый расход ресурса («Истощение ресурса»); CWE-770 — неограниченное распределение ресурсов или дросселирование
Класс уязвимости	Уязвимость кода · Способ эксплуатации: исчерпание ресурсов

Уязвимое ПО

Ubuntu (Canonical) — версии 16.04 LTS, 14.04 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
Xen (The Linux Foundation) — версии до 4.12.1 включительно, до 5.2.3 · ПО виртуализации/ПО виртуального программно-аппаратного средства
Linux (Сообщество свободного программного обеспечения) — версии от 4.5 до 4.9.186 включительно, от 4.20 до 5.1.19 включительно, от 5.2.0 до 5.2.2 включительно, от 4.0 до 4.4.210 включительно, от 4.15 до 4.19.60 включительно, от 4.10 до 4.14.134 включительно · операционная система
ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

ОС и платформы

Linux (Сообщество свободного программного обеспечения) — до 5.2.3

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Xen: xenbits.xen.org/xsa/advisory-300.html
Для Ubuntu: people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-1…
Для Astra Linux: wiki.astralinux.ru/pages/viewpage.action
Для Linux: cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.2.3
Для ОС ОН «Стрелец»: Обновление программного обеспечения xen до версии 4.8.5.final+shim4.10.4-1+deb9u12; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.135; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.61; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.211; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.187; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.1.20; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.2.3

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: