BDU:2022-00613 (CVE-2021-45486) — уязвимость реализации протокола IPv4 ядра операционных систем Linux
По данным БДУ ФСТЭК России, по состоянию на 19.06.2024.
Средний — 5.9/10 Устранена
Уязвимость реализации протокола IPv4 ядра операционных систем Linux связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; Red Hat Enterprise Linux (Red Hat) — версии 8; ОС Аврора (ООО «Открытая мобильная платформа») — версии до 4.0.2; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: git.kernel.org, kernel.org, kernel.org
Сведения об уязвимости
| Идентификаторы | BDU:2022-00613 · CVE-2021-45486 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.9; CVSS 2.0 — 5.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость реализации протокола IPv4 ядра операционных систем Linux, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| Даты | Опубликована: 07.02.2022 · Обновлена ФСТЭК: 19.06.2024 · Выявлена: 24.03.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-200 — раскрытие информации; CWE-327 — использование криптографических алгоритмов, содержащих дефекты или риски; CWE-330 — использование недостаточно случайных значений |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Red Hat Enterprise Linux (Red Hat) — 8 · операционная система
- ОС Аврора (ООО «Открытая мобильная платформа») — до 4.0.2 · операционная система · платформа: Aquarius CMP NS220
- Linux (Сообщество свободного программного обеспечения) — версии от 4.0 до 4.4.273 включительно, от 4.5 до 4.9.273 включительно, от 4.10 до 4.14.237 включительно, от 4.15 до 4.19.195 включительно, от 5.11.0 до 5.11.20 включительно, от 5.12.0 до 5.12.3 включительно, от 4.20 до 5.4.118 включительно, от 5.5 до 5.10.36 включительно · операционная система
ОС и платформы
- Linux (Сообщество свободного программного обеспечения) — до 5.12.4
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Linux: git.kernel.org/linus/aa6dd211e4b1dde9d5dc25d699d35f789ae7…; git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/…; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.238; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.196; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.274; kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.274; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.37; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.11.21; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.12.4; kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.4.119
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2021-45486
- Для ОС Аврора 3.2.1: cve.omprussia.ru/bb10321
- Для ОС Аврора 3.2.2: cve.omprussia.ru/bb11322
- Для ОС Аврора 3.2.3: cve.omprussia.ru/bb12323
- Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16
Источники
- access.redhat.com/security/cve/CVE-2021-45486
- arxiv.org/pdf/2112.09604.pdf
- cdn.kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.12.4
- cve.mitre.org/cgi-bin/cvename.cgi
- cve.omprussia.ru/bb10321
- cve.omprussia.ru/bb11322
- cve.omprussia.ru/bb12323
- git.kernel.org/linus/aa6dd211e4b1dde9d5dc25d699d35f789ae7…
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.238
- kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.196
