BDU:2022-00837 (CVE-2022-24051) — уязвимость реализации функции CONNECT системы управления базами данных MariaDB

По данным БДУ ФСТЭК России, по состоянию на 09.11.2023.

Высокий — 7.0/10 Устранена

Уязвимость реализации функции CONNECT системы управления базами данных MariaDB связана с использованием неконтролируемых форматных строк. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7; MariaDB (MariaDB Foundation) — версии от 10.2.0 до 10.2.42, от 10.3.0 до 10.3.33, от 10.4.0 до 10.4.23, от 10.5.0 до 10.5.14, от 10.6.0 до 10.6.6, от 10.7.0 до 10.7.2, от 10.8.0 до 10.8.1; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: mariadb.com, security-tracker.debian.org, wiki.astralinux.ru

Сведения об уязвимости

Идентификаторы	BDU:2022-00837 · CVE-2022-24051
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.0; CVSS 2.0 — 6.0)
Вектор CVSS 3.1	AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H нужен локальный доступ, высокая сложность, нужны права пользователя, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость реализации функции CONNECT системы управления базами данных MariaDB, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 17.02.2022 · Обновлена ФСТЭК: 09.11.2023 · Выявлена: 20.01.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-134 — неконтролируемая форматная строка
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
MariaDB (MariaDB Foundation) — версии от 10.2.0 до 10.2.42, от 10.3.0 до 10.3.33, от 10.4.0 до 10.4.23, от 10.5.0 до 10.5.14, от 10.6.0 до 10.6.6, от 10.7.0 до 10.7.2, от 10.8.0 до 10.8.1 · СУБД
Альт 8 СП (АО «ИВК») — операционная система
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5 · операционная система
РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для MariaDB: mariadb.com/kb/en/security/
Для Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2022-24051
Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
Для ОСОН Основа: Обновление программного обеспечения mariadb-10.3 до версии 1:10.3.34+repack-0+deb10u1.osnova1
Для Astra Linux Special Edition 4.7 (для архитектуры ARM): использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для операционной системы РОСА ХРОМ: abf.rosalinux.ru/advisories/ROSA-SA-2023-2253

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: