BDU:2021-01349 (CVE-2020-4031) — уязвимость компонента gdi_SelectObject реализации протокола удалённого рабочего стола FreeRDP
По данным БДУ ФСТЭК России, по состоянию на 16.09.2024.
Средний — 4.3/10 Устранена
Уязвимость компонента gdi_SelectObject реализации протокола удалённого рабочего стола FreeRDP связана с использованием области памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; и ещё 7 позиций
- Что делать: уязвимость устранена производителем — применить исправления: lists.fedoraproject.org, lists.fedoraproject.org, ubuntu.com
Сведения об уязвимости
| Идентификаторы | BDU:2021-01349 · CVE-2020-4031 |
| Уровень опасности | Средний (базовая оценка CVSS 2.0 — 4.3) |
| Вектор CVSS 2.0 | AV:N/ атака по сети, средняя сложность, без аутентификации, частичное влияние на доступность |
| Наименование ФСТЭК | Уязвимость компонента gdi_SelectObject реализации протокола удалённого рабочего стола FreeRDP, позволяющая нарушителю вызвать отказ в обслуживании |
| Даты | Опубликована: 15.03.2021 · Обновлена ФСТЭК: 16.09.2024 · Выявлена: 22.06.2020 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-416 — использование после освобождения |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
- Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
- Fedora (Fedora Project) — версии 31, 32 · операционная система
- Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — 8.1 «Ленинград» · операционная система
- FreeRDP (Free Software Foundation) — до 2.1.2 · прикладное ПО информационных систем
- Альт 8 СП (АО «ИВК») — операционная система
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.1 · операционная система
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Fedora: lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…
- Для Ubuntu: ubuntu.com/security/notices/USN-4481-1
- Для FreeRDP: github.com/FreeRDP/FreeRDP/commit/6d86e20e1e7caaab4f0c7f8…
- Для Debian: security-tracker.debian.org/tracker/CVE-2020-4031
- Для Astra Linux: wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16; wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
- Для ОСОН Основа: Обновление программного обеспечения freerdp2 до версии 2.3.0+dfsg1-2osnova2
- Для ОС ОН «Стрелец»: Обновление программного обеспечения freerdp2 до версии 2.3.0+dfsg1-2osnova1
- Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Источники
- www.freerdp.com/2020/06/22/2_1_2-released
- github.com/FreeRDP/FreeRDP/commit/6d86e20e1e7caaab4f0c7f8…
- lists.fedoraproject.org/archives/list/package-announce@li…
- lists.fedoraproject.org/archives/list/package-announce@li…
- nvd.nist.gov/vuln/detail/CVE-2020-4031
- security-tracker.debian.org/tracker/CVE-2020-4031
- ubuntu.com/security/notices/USN-4481-1
- wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16
- wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/
