03.02.2021

Уязвимость BDU:2022-00308

Идентификатор: BDU:2022-00308.

Наименование уязвимости: Уязвимость загрузчика операционных систем Grub2, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю получить доступ к конфиденциальным данным, оказать влияние на целостность данных, а также вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость загрузчика операционных систем Grub2 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, оказать влияние на целостность данных, а также вызвать отказ в обслуживании
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 7 | Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP2 LTSS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP2-ESPOS | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP1 | Операционная система Novell Inc. Suse Linux Enterprise Server 11 SP4-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-BCL | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5 | Операционная система Debian GNU/Linux 10 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.6 Extended Update Support | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3-ESPOS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.2 Advanced Update Support | Операционная система Novell Inc. Suse Linux Enterprise Server 15-LTSS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.3 Advanced Update Support | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.4 Telco Extended Update Support | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.4 Advanced Update Support | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Canonical Ltd. Ubuntu 20.10 | Операционная система Novell Inc. OpenSUSE Leap 15.2 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.1 Extended Update Support | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.7 Extended Update Support | Операционная система Erich Boleyn Grub2 до 2.06 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP1-BCL | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS | Операционная система Fedora Project Fedora 34 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 7.4 Update Services for SAP Solutions | Операционная система Novell Inc. OpenSUSE Leap 15.3 | Операционная система Debian GNU/Linux 11 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система ФССП России ОС ТД АИС ФССП России ИК6 | Операционная система Novell Inc. OpenSUSE Leap 15.4 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP3 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP2 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP2 | Операционная система Novell Inc. Suse Linux Enterprise Desktop 15 SP4 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.1 | Операционная система ООО «Юбитех» UBLinux до 2204 | Операционная система АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1 | Операционная система АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023 |

Возможные меры по устранению:
Использование рекомендаций:
Для Grub:
https://security.gentoo.org/glsa/202104-05

Для ОС Debian:
https://security-tracker.debian.org/tracker/CVE-2021-20225

Для ОС Astra Linux:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для Ред ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Для ОСОН ОСнова Оnyx:
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/

Для UBLinux:
https://security.ublinux.ru/ASA-202106-43/generate

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZWZ36QK4IKU6MWDWNOOWKPH3WXZBHT2R/

Для Ubuntu:
https://ubuntu.com/security/CVE-2021-20225
https://ubuntu.com/security/notices/USN-4992-1

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2021-20225

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-20225.html

Для ОС ОН «Стрелец»:
Обновление программного обеспечения grub2 до версии 2.06-3~deb10u2.osnova9.strelets

Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2300.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2021-20225.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://bugzilla.redhat.com/show_bug.cgi?id=1924696
https://nvd.nist.gov/vuln/detail/CVE-2021-20225
https://security-tracker.debian.org/tracker/CVE-2021-20225
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-grub-/?sphrase_id=63279
https://goslinux.fssp.gov.ru/2726972/

https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/
https://security.ublinux.ru/ASA-202106-43/generate
https://security.gentoo.org/glsa/202104-05
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZWZ36QK4IKU6MWDWNOOWKPH3WXZBHT2R/
https://ubuntu.com/security/CVE-2021-20225
https://ubuntu.com/security/notices/USN-4992-1
https://access.redhat.com/security/cve/cve-2021-20225
https://www.suse.com/security/cve/CVE-2021-20225.html
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2300

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: