BDU:2021-05897 — уязвимость установочных файлов программных средств антивирусной защиты Kaspersky Anti-Virus Kaspersky

По данным БДУ ФСТЭК России, по состоянию на 07.12.2021.

Уязвимость установочных файлов программных средств антивирусной защиты Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Small Office Security, Kaspersky Security Cloud связана с ошибками в обработке XML запросов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Кого касается и что делать

• Уязвимое ПО: Kaspersky Anti-Virus (АО «Лаборатория Касперского») — версии до 21.3; Kaspersky Internet Security (АО «Лаборатория Касперского») — версии до 21.3; Kaspersky Total Security (АО «Лаборатория Касперского») — версии до 21.3; и ещё 2 позиции
• Что делать: уязвимость устранена производителем — применить исправления: support.kaspersky.ru

Сведения об уязвимости

Идентификаторы	BDU:2021-05897
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.9; CVSS 2.0 — 4.6)
Вектор CVSS 3.1	AV:L/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L нужен локальный доступ, низкая сложность, без прав, без участия пользователя, ограниченное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость установочных файлов программных средств антивирусной защиты Kaspersky Anti-Virus, Kaspersky Internet Security, Kaspersky Total Security, Kaspersky Small Office Security, Kaspersky Security Cloud, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации
Даты	Опубликована: 07.12.2021 · Обновлена ФСТЭК: 07.12.2021 · Выявлена: 22.11.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-91 — внедрение XML (Blind XPath Injection)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: злоупотребление функционалом

Уязвимое ПО

• Kaspersky Anti-Virus (АО «Лаборатория Касперского») — до 21.3 · программное средство защиты
• Kaspersky Internet Security (АО «Лаборатория Касперского») — до 21.3 · программное средство защиты
• Kaspersky Total Security (АО «Лаборатория Касперского») — до 21.3 · программное средство защиты
• Kaspersky Small Office Security (АО «Лаборатория Касперского») — до 21.3 · программное средство защиты
• Kaspersky Security Cloud (АО «Лаборатория Касперского») — до 21.3 · программное средство защиты

Возможные меры по устранению уязвимости

Обновление.

• Использование рекомендаций
• support.kaspersky.ru/general/vulnerability.aspx

Источники

• support.kaspersky.ru/general/vulnerability.aspx