Уязвимость BDU:2022-01880
Идентификатор: BDU:2022-01880.
Наименование уязвимости: Уязвимость средства криптографической защиты OpenSSH, связанная с раскрытием информации, позволяющая нарушителю получить доступ к конфиденциальным данным.
Описание уязвимости: Уязвимость средства криптографической защиты OpenSSH связана с тем, что вызов отправляется только если комбинация имени пользователя и открытого ключа может быть действительной для входа в систему. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным
Уязвимое ПО: Операционная система Debian GNU/Linux 9 | Операционная система Debian GNU/Linux 10 | Операционная система Debian GNU/Linux 11 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Программное средство защиты OpenBSD Project OpenSSH до 8.7 включительно |
Наименование ОС и тип аппаратной платформы: Debian GNU/Linux 9 | Debian GNU/Linux 10 | Debian GNU/Linux 11 | РЕД ОС 73 |
Дата выявления: 06.06.2002.
CVSS 2.0: AV:N/AC:M/Au:N/C:P/I:N/A:N
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)
Возможные меры по устранению:
Для OpenSSH:
использование рекомендаций производителя: https://github.com/openssh/openssh-portable/pull/270
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2016-20012
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssh-cve-2016-20012/?sphrase_id=966117.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2016-20012.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/openssh/openssh-portable/blob/d0fffc88c8fe90c1815c6f4097bc8cbcabc0f3dd/auth2-pubkey.c#L261-L265
https://github.com/openssh/openssh-portable/pull/270
https://nvd.nist.gov/vuln/detail/CVE-2016-20012
https://rushter.com/blog/public-ssh-keys/
https://security-tracker.debian.org/tracker/CVE-2016-20012
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssh-cve-2016-20012/?sphrase_id=966117
