BDU:2022-04153 (CVE-2022-34468) — уязвимость почтового клиента Thunderbird, браузеров Firefox и Firefox ESR
По данным БДУ ФСТЭК России, по состоянию на 21.11.2023.
Средний — 6.1/10 Устранена
Уязвимость почтового клиента Thunderbird, браузеров Firefox и Firefox ESR связана с ошибками при обработке заголовка изолированной программной среды CSP без параметра «разрешить сценарии». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти реализованное ограничение CSP и выполнить произвольный сценарий с помощью специально сформированной ссылки
Кого касается и что делать
- Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 6, 7, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support, 9; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 7 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.mozilla.org, www.mozilla.org, www.mozilla.org
Сведения об уязвимости
| Идентификаторы | BDU:2022-04153 · CVE-2022-34468 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.1; CVSS 2.0 — 6.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость почтового клиента Thunderbird, браузеров Firefox и Firefox ESR, связанная с ошибками при обработке заголовка изолированной программной среды CSP без параметра «разрешить сценарии», позволяющая нарушителю обойти реализованное ограничение CSP и выполнить произвольный сценарий |
| Даты | Опубликована: 06.07.2022 · Обновлена ФСТЭК: 21.11.2023 · Выявлена: 28.06.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Red Hat Enterprise Linux (Red Hat) — версии 6, 7, 8.2 Extended Update Support, 8.1 Update Services for SAP Solutions, 8.4 Extended Update Support, 9 · операционная система
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
- РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
- ОС ТД АИС ФССП России (ФССП России) — ИК6 · операционная система
- Альт 8 СП (АО «ИВК») — операционная система
- Firefox (Mozilla) — до 102 · прикладное ПО информационных систем
- Firefox ESR (Mozilla) — до 91.11 · прикладное ПО информационных систем
- Thunderbird (Mozilla) — версии до 102, до 91.11 · прикладное ПО информационных систем
- ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.5.1, до 2.6 · операционная система
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление.
- Установка обновлений из доверенных источников.
- В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Если обновиться нельзя
— использование средств антивирусной защиты с функцией контроля доступа к веб-ресурсам;
— контролируемый доступ в сеть Интернет – регламентация разрешенных сетевых ресурсов и соединений;
— запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
— использование альтернативных веб-браузеров;
— применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций
- Для программных продуктов Mozilla Corp.: www.mozilla.org/en-US/security/advisories/mfsa2022-24/; www.mozilla.org/en-US/security/advisories/mfsa2022-25/; www.mozilla.org/en-US/security/advisories/mfsa2022-26/
- Для РЕД ОС: redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvenn…; redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvenn…
- Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2022-34468
- Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2022-34468
- Для ОС ТД АИС ФССП России: goslinux.fssp.gov.ru/2726972/
- Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 91.11.0esr+repack-1~deb10u1.osnova1
- Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:91.11.0+repack-1~deb10u1.osnova1
- Для ОСОН ОСнова Оnyx: Обновление программного обеспечения thunderbird до версии 1:102.4.0+repack-1~deb10u1.osnova1
- Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
- Для ОС ОН «Стрелец»: Обновление программного обеспечения firefox-esr до версии 91.13.0esr+repack-1~deb10u1.osnova1.strelets; Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets
Источники
- www.mozilla.org/en-US/security/advisories/mfsa2022-24/
- www.mozilla.org/en-US/security/advisories/mfsa2022-25/
- www.mozilla.org/en-US/security/advisories/mfsa2022-26/
- redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvenn…
- redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvenn…
- security-tracker.debian.org/tracker/CVE-2022-34468
- access.redhat.com/security/cve/CVE-2022-34468
- goslinux.fssp.gov.ru/2726972/
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5.1/
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/
