Уязвимость BDU:2022-02113

Дата: 07.04.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-02113.

Наименование уязвимости: Уязвимость библиотеки gzip, связанная с ошибками при обработке имен файлов, позволяющая нарушителю записать произвольные файлы в систему.

Описание уязвимости: Уязвимость библиотеки gzip связана с ошибками при обработке имен файлов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записать произвольные файлы в систему с помощью утилит командной строки zgrep и xzgrep
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 7 | Операционная система Debian GNU/Linux 9.0 | ПО виртуализации/ПО виртуального программно-аппаратного средства Red Hat Inc. Red Hat Virtualization 4 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Debian GNU/Linux 10.0 | Операционная система Debian GNU/Linux 11.0 | Прикладное ПО информационных систем gzip до 1.12 |

Наименование ОС и тип аппаратной платформы: Red Hat Enterprise Linux 7 | Debian GNU/Linux 90 | Red Hat Enterprise Linux 8 | Debian GNU/Linux 100 | Debian GNU/Linux 110 |
Дата выявления: 07.04.2022.
CVSS 2.0: AV:N/AC:H/Au:S/C:C/I:C/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1)

Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
— ограничение доступа недоверенных пользователей к терминалу Linux;
— использование замкнутой программной среды;
— использование средств антивирусной защиты.

Источник информации:
https://lists.gnu.org/r/bug-gzip/2022-04/msg00011.html

Использование рекомендаций производителей:
Для gzip:
https://git.savannah.gnu.org/cgit/gzip.git/commit/?id=9d3248751178939713a39115cf68ec8a11506cc9

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-1271

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-1271
.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-1271.

Тип ошибки CWE: CWE-20
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://lists.gnu.org/r/bug-gzip/2022-04/msg00011.html
https://access.redhat.com/security/cve/cve-2022-1271
https://security-tracker.debian.org/tracker/CVE-2022-1271
https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-1271
https://www.openwall.com/lists/oss-security/2022/04/07/8
https://git.tukaani.org/?p=xz.git;a=commit;h=69d1b3fc29677af8ade8dc15dba83f0589cb63d6
https://security-tracker.debian.org/tracker/CVE-2022-1271
https://access.redhat.com/security/cve/cve-2022-1271
https://www.mail-archive.com/search?l=debian-security-tracker-commits%40alioth-lists.debian.net&q=date:20220407&o=newest&f=1

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован.