26.02.2019

BDU:2020-01468 (CVE-2019-15917) — уязвимость функций hci_uart_register_dev () и hci_uart_set_proto () ядра операционной системы Linux

По данным БДУ ФСТЭК России, по состоянию на 04.06.2024.

Высокий — 7.0/10 Устранена

Уязвимость функций hci_uart_register_dev () и hci_uart_set_proto () (drivers/bluetooth/hci_ldisc.c) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Кого касается и что делать

Уязвимое ПО: Suse Linux Enterprise Desktop (Novell) — версии 12 SP4; SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP4, 12 SP1, 12 SP1-LTSS; SUSE Linux Enterprise Software Development Kit (Novell) — версии 12 SP4, 12 SP5; и ещё 18 позиций
Что делать: уязвимость устранена производителем — применить исправления: cdn.kernel.org, www.suse.com, lists.debian.org

Сведения об уязвимости

Идентификаторы	BDU:2020-01468 · CVE-2019-15917
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.0; CVSS 2.0 — 6.9)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость функций hci_uart_register_dev () и hci_uart_set_proto () ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Даты	Опубликована: 14.04.2020 · Обновлена ФСТЭК: 04.06.2024 · Выявлена: 26.02.2019
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-416 — использование после освобождения
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Suse Linux Enterprise Desktop (Novell) — 12 SP4 · операционная система
SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP4, 12 SP1, 12 SP1-LTSS · операционная система
SUSE Linux Enterprise Software Development Kit (Novell) — версии 12 SP4, 12 SP5 · прикладное ПО информационных систем
SUSE Linux Enterprise Workstation Extension (Novell) — версии 12 SP4, 15, 15 SP1, 12 SP5 · прикладное ПО информационных систем
Suse Linux Enterprise Server (Novell) — версии 12 SP4, 12 SP1-LTSS, 12 SP5 · операционная система
SUSE Linux Enterprise Module for Open Buildservice Development Tools (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем · платформа: 32-bit
SUSE Linux Enterprise Module for Basesystem (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
OpenSUSE Leap (Novell) — версии 15.0, 15.1 · операционная система
SUSE Linux Enterprise Module for Development Tools (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
SUSE Linux Enterprise Build System Kit (Novell) — 12 SP4 · прикладное ПО информационных систем
SUSE Linux Enterprise High Availability (Novell) — версии 12 SP4, 15, 15 SP1, 12 SP5 · прикладное ПО информационных систем
SUSE Linux Enterprise Live Patching (Novell) — 12 SP4 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Legacy Software (Novell) — версии 15 SP1, 15 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Live Patching (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Public Cloud (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
Debian GNU/Linux (Сообщество свободного программного обеспечения) — 8 · операционная система
SUSE Linux Enterprise High Performance Computing (Novell) — 12 SP5 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Realtime packages (Novell) — 15 SP1 · прикладное ПО информационных систем
SUSE Linux Enterprise Real Time Extension (Novell) — 12 SP4 · прикладное ПО информационных систем
ОС Аврора (ООО «Открытая мобильная платформа») — до 3.2.3.31 · операционная система · платформа: INOI R7
Linux (Сообщество свободного программного обеспечения) — версии от 4.5 до 4.9.201 включительно, от 4.0 до 4.4.202 включительно, от 4.10 до 4.14.108 включительно, от 4.15 до 4.19.31 включительно, от 4.20 до 5.0.4 включительно · операционная система

ОС и платформы

Linux (Сообщество свободного программного обеспечения) — до 5.0.5

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Linux: cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.0.5
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2019-15917/
Для Debian GNU/Linux: lists.debian.org/debian-lts-announce/2019/09/msg00025.html; lists.debian.org/debian-lts-announce/2020/03/msg00001.html
Для ОС Аврора 3.2.3: cve.omprussia.ru/bb6323

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: