BDU:2022-04284 (CVE-2022-2097) — уязвимость режима AES OCB библиотеки OpenSSL

По данным БДУ ФСТЭК России, по состоянию на 19.08.2025.

Уязвимость режима AES OCB библиотеки OpenSSL с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Кого касается и что делать

• Уязвимое ПО: Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS, 21.10, 22.04 LTS; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7; Red Hat Enterprise Linux (Red Hat) — версии 8, 9; и ещё 10 позиций
• Что делать: уязвимость устранена производителем — применить исправления: www.openssl.org, security-tracker.debian.org, www.suse.com

Сведения об уязвимости

Уязвимое ПО

• Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS, 21.10, 22.04 LTS · операционная система
• Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7 · операционная система
• Red Hat Enterprise Linux (Red Hat) — версии 8, 9 · операционная система
• Jboss Web Server (Red Hat) — версии 5.0, 3 · прикладное ПО информационных систем
• Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
• JBoss Core Services (Red Hat) — прикладное ПО информационных систем
• OpenSUSE Leap (Novell) — версии 15.3, 15.4 · операционная система
• Альт 8 СП (АО «ИВК») — операционная система
• OpenSSL (OpenSSL Software Foundation) — версии от 1.1.1 до 1.1.1q, от 3.0 до 3.0.5 · программное средство защиты
• ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.6 · операционная система
• ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
• АЛЬТ СП 10 (АО «ИВК») — операционная система
• ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для OpenSSL: www.openssl.org/news/secadv/20220705.txt
• Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2022-2097
• Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2022-2097.html
• Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2022-2097
• Для Ubuntu: ubuntu.com/security/notices/USN-5502-1
• Для ОСОН ОСнова Оnyx: Обновление программного обеспечения openssl до версии 1.1.1n-0+deb11u3osnova0
• Для Astra Linux Special Edition 1.7: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
• Для Astra Linux Special Edition для архитектуры ARM для 4.7: wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosalinux.ru/advisories/ROSA-SA-2023-2211
• Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
• Для Astra Linux 1.6 «Смоленск»: обновить пакет openssl до 1.1.1n-0+deb11u4-deb11u5-astra3 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
• Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-2898; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2025-2897

Источники

• www.openssl.org/news/secadv/20220705.txt
• security-tracker.debian.org/tracker/CVE-2022-2097
• www.suse.com/security/cve/CVE-2022-2097.html
• access.redhat.com/security/cve/CVE-2022-2097
• ubuntu.com/security/notices/USN-5502-1
• git.openssl.org/gitweb/
• git.openssl.org/gitweb/
• поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/
• wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
• wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD