СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
Отрасли
Финансы Госсектор Образование Промышленность Ритейл Телеком Энергетика Медицина Авиация и космос ЖКХ Транспорт Агропром Строительство Автопром
О проектеStartUp HubКонтактыКомпанииРынкиMCPРекламаПолитика ПДнСогласие ПДнФайлы cookie
Уязвимости
ФСТЭК России
18.04.2022

BDU:2022-03041 (CVE-2022-27774) — уязвимость утилиты командной строки cURL

По данным БДУ ФСТЭК России, по состоянию на 27.03.2026.

Средний — 5.0/10 Публичный эксплойт Устранена

Уязвимость утилиты командной строки cURL связана с попытками приложения выполнить перенаправления во время процесса аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации путем выполнения перенаправления на другие URL-адреса

Кого касается и что делать

  • Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 8; Red Hat Software Collections (Red Hat); JBoss Core Services (Red Hat); и ещё 9 позиций
  • Что делать: уязвимость устранена производителем — применить исправления: curl.se, repo.red-soft.ru, access.redhat.com
  • Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы BDU:2022-03041 · CVE-2022-27774
Уровень опасности Средний (базовая оценка CVSS 3.1 — 5.0; CVSS 2.0 — 5.4)
Вектор CVSS 3.1 AV:N/AC:H/PR:N/UI:R/S:U/C:L/I:L/A:L
атака по сети, высокая сложность, без прав, требуется участие пользователя, ограниченное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК Уязвимость утилиты командной строки cURL, связанная с недостаточной защитой регистрационных данных, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты Опубликована: 20.05.2022 · Обновлена ФСТЭК: 27.03.2026 · Выявлена: 18.04.2022
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-200 — раскрытие информации; CWE-522 — недостаточная защита регистрационных данных
Класс уязвимости Уязвимость архитектуры · Способ эксплуатации: несанкционированный сбор информации

Уязвимое ПО

  • Red Hat Enterprise Linux (Red Hat) — 8 · операционная система
  • Red Hat Software Collections (Red Hat) — прикладное ПО информационных систем
  • JBoss Core Services (Red Hat) — прикладное ПО информационных систем
  • Fedora (Fedora Project) — версии 34, 35, 36 · операционная система
  • РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
  • Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
  • Альт 8 СП (АО «ИВК») — операционная система
  • cURL (Daniel Stenberg) — от 4.9 до 7.83.0 · прикладное ПО информационных систем
  • ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5 · операционная система
  • ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
  • Kaspersky Endpoint Security 10 для Linux (АО «Лаборатория Касперского») — 10.1.2.329 · программное средство защиты · платформа: Эльбрус
  • Kaspersky Security для Microsoft Exchange Server (АО «Лаборатория Касперского») — 9.7.364.0 · программное средство защиты

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии:

Как мы обрабатываем данные: политика обработки персональных данных