Уязвимость BDU:2022-01715

Дата: 02.03.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-01715.

Наименование уязвимости: Уязвимость среды выполнения контейнеров Containerd, связанная с недостатками процедуры аутентификации, позволяющая нарушителю раскрыть защищаемую информацию.

Описание уязвимости: Уязвимость среды выполнения контейнеров Containerd связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию
Уязвимое ПО: Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP3 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP4 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 SP5 | Прикладное ПО информационных систем Novell Inc. openSUSE Tumbleweed — | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Fedora Project Fedora 34 | Операционная система Novell Inc. OpenSUSE Leap 15.3 | Операционная система Debian GNU/Linux 11.0 | Операционная система Fedora Project Fedora 35 | Операционная система Canonical Ltd. Ubuntu 21.10 | Операционная система Novell Inc. Suse Linux Enterprise Server 12 | Операционная система Novell Inc. OpenSUSE Leap 15.4 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP3 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.0 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Micro 5.1 | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd до 1.4.13 | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd от 1.5.0 до 1.5.10 | Прикладное ПО информационных систем Cloud Native Computing Foundation Containerd от 1.6.0 до 1.6.1 | Операционная система Fedora Project Fedora 36 |

Наименование ОС и тип аппаратной платформы: Ubuntu 1804 LTS | Suse Linux Enterprise Server 12 SP3 | Suse Linux Enterprise Server 12 SP4 | Suse Linux Enterprise Server 12 SP5 | Ubuntu 2004 LTS | Fedora 34 | OpenSUSE Leap 153 | Debian GNU/Linux 110 | Fedora 35 | Ubuntu 2110 | Suse Linux Enterprise Server 12 | OpenSUSE Leap 154 | Suse Linux Enterprise Server 15 SP3 | Fedora 36 |
Дата выявления: 02.03.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:N/A:N
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению:
Использование рекомендаций:

Для Containerd:
https://github.com/containerd/containerd/commit/10f428dac7cec44c864e1b830a4623af27a9fc70
https://github.com/containerd/containerd/releases/tag/v1.4.13
https://github.com/containerd/containerd/releases/tag/v1.5.10
https://github.com/containerd/containerd/releases/tag/v1.6.1
https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AUDQUQBZJGBWJPMRVB6QCCCRF7O3O4PA/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HFTS2EF3S7HNYSNZSEJZIJHPRU7OPUV3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OCCARJ6FU4MWBTXHZNMS7NELPDBIX2VO/

Для Debian GNU/Linux:
https://www.debian.org/security/2022/dsa-5091
https://security-tracker.debian.org/tracker/CVE-2022-23648

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-23648
https://ubuntu.com/security/notices/USN-5311-1

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-23648.html
.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-23648. SB2022030722.

Тип ошибки CWE: CWE-200, CWE-287
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/containerd/containerd/commit/10f428dac7cec44c864e1b830a4623af27a9fc70
https://github.com/containerd/containerd/releases/tag/v1.4.13
https://github.com/containerd/containerd/releases/tag/v1.5.10
https://github.com/containerd/containerd/releases/tag/v1.6.1
https://github.com/containerd/containerd/security/advisories/GHSA-crp2-qrr5-8pq7
https://packetstormsecurity.com/files/166421/containerd-Image-Volume-Insecure-Handling.html
https://www.debian.org/security/2022/dsa-5091
https://security-tracker.debian.org/tracker/CVE-2022-23648
https://ubuntu.com/security/CVE-2022-23648
https://ubuntu.com/security/notices/USN-5311-1
https://www.openwall.com/lists/oss-security/2022/03/02/1
https://www.suse.com/security/cve/CVE-2022-23648.html
https://www.cybersecurity-help.cz/vdb/SB2022030722
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AUDQUQBZJGBWJPMRVB6QCCCRF7O3O4PA/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HFTS2EF3S7HNYSNZSEJZIJHPRU7OPUV3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OCCARJ6FU4MWBTXHZNMS7NELPDBIX2VO/

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован.