BDU:2022-02945 (CVE-2022-24735) — уязвимость системы управления базами данных Redis
По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.
Низкий — 3.9/10 Публичный эксплойт Устранена
Уязвимость системы управления базами данных Redis связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; Red Hat Enterprise Linux (Red Hat) — версии 8; и ещё 3 позиции
- Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, security-tracker.debian.org
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2022-02945 · CVE-2022-24735 |
| Уровень опасности | Низкий (базовая оценка CVSS 3.1 — 3.9; CVSS 2.0 — 3.2) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, низкая сложность, нужны права пользователя, требуется участие пользователя, ограниченное влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость системы управления базами данных Redis, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 17.05.2022 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 10.02.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-74 — неверная нейтрализация особых элементов в выходных данных, используемых входящим компонентом («инъекция»); CWE-94 — неверное управление генерацией кода (Внедрение кода) |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Red Hat Enterprise Linux (Red Hat) — 8 · операционная система
- Red Hat Software Collections (Red Hat) — прикладное ПО информационных систем
- Fedora (Fedora Project) — версии 34, 35, 36 · операционная система
- Redis (Redis Labs) — версии до 6.2.7, до 7.0.0 · СУБД, ПО для разработки ИИ
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Redis: github.com/redis/redis/releases/tag/6.2.7; github.com/redis/redis/releases/tag/7.0.0
- Для Debian: security-tracker.debian.org/tracker/CVE-2022-24735
- Для Fedora: bodhi.fedoraproject.org/updates/FEDORA-2022-a0a4c7eb31; bodhi.fedoraproject.org/updates/FEDORA-2022-44373f6778; bodhi.fedoraproject.org/updates/FEDORA-2022-6ed1ce2838
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2022-24735
Организационные меры; использование списка управления доступом (Access Control List (ACL)) для блокировки доступа к командам SCRIPT LOAD и EVAL - Для Astra Linux 1.6 «Смоленск»: wiki.astralinux.ru/astra-linux-se16-bulletin-20230525SE16MD
Источники
- github.com/redis/redis/pull/10651
- github.com/redis/redis/releases/tag/6.2.7
- github.com/redis/redis/releases/tag/7.0.0
- github.com/redis/redis/security/advisories/GHSA-647m-2wmq…
- nvd.nist.gov/vuln/detail/CVE-2022-24735
- access.redhat.com/security/cve/cve-2022-24735
- bugzilla.redhat.com/show_bug.cgi
- vuldb.com/ru/
- security-tracker.debian.org/tracker/CVE-2022-24735
- bodhi.fedoraproject.org/updates/FEDORA-2022-a0a4c7eb31
