BDU:2021-00130 (CVE-2020-14305) — уязвимость ядра операционной системы Linux

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Высокий — 8.1/10 Публичный эксплойт Устранена

Уязвимость ядра операционной системы Linux связана с чтением данных за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9; ОС Аврора (ООО «Открытая мобильная платформа») — версии 3.2.3.10; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: git.kernel.org, kernel.org, kernel.org
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2021-00130 · CVE-2020-14305
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 8.1; CVSS 2.0 — 7.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость ядра операционной системы Linux, связанная с чтением данных за границами буфера в памяти, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Даты	Опубликована: 19.01.2021 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 19.04.2017
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-125 — чтение за границами буфера; CWE-787 — запись за границами буфера
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — 7 · операционная система · платформа: IA-32
Debian GNU/Linux (Сообщество свободного программного обеспечения) — 9 · операционная система
ОС Аврора (ООО «Открытая мобильная платформа») — 3.2.3.10 · операционная система · платформа: F+ Life Tab Plus
Linux (Сообщество свободного программного обеспечения) — версии от 4.10 до 4.12, от 4.0 до 4.4.229 включительно, от 4.5 до 4.9.229 включительно · операционная система

ОС и платформы

Linux (Сообщество свободного программного обеспечения) — до 4.11.12 включительно
ОС Аврора (ООО «Открытая мобильная платформа») — версии 3.2.1.65, 3.2.2.21

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Linux: git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/…; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.230; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.230
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2020-14305
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2020-14305
Для ОС Аврора 3.2.3: cve.omprussia.ru/bb12323

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: