15.02.2022

BDU:2022-05475 (CVE-2022-21698) — уязвимость библиотеки client_golang приложения для мониторинга и оповещения о событиях Prometheus

По данным БДУ ФСТЭК России, по состоянию на 05.09.2025.

Высокий — 7.5/10 Существует эксплойт Есть инциденты ИБ Устранена

Уязвимость библиотеки client_golang приложения для мониторинга и оповещения о событиях Prometheus связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP3, 12 SP4, 15, 15 SP1, 12 SP5, 15 SP3, 15 SP2, 15 SP4, 15 SP5, 15 SP6, 15 SP7; Suse Linux Enterprise Server (Novell) — версии 12 SP3-LTSS, 12 SP3-BCL, 12 SP5, 12 SP3-ESPOS, 15-LTSS, 12 SP4-ESPOS, 12 SP4-LTSS, 15 SP1-BCL, 15 SP1-LTSS, 15 SP 3, 15 SP4, 15 SP2-BCL, 15 SP2-LTSS, 15 SP5, 15 SP6 и др.; SUSE OpenStack Cloud (Novell) — версии 8, 9; и ещё 30 позиций
Что делать: уязвимость устранена производителем — применить исправления: github.com, lists.fedoraproject.org, lists.fedoraproject.org
Эксплойт: существует — обновление не откладывать

Сведения об уязвимости

Идентификаторы	BDU:2022-05475 · CVE-2022-21698
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость библиотеки client_golang приложения для мониторинга и оповещения о событиях Prometheus, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 02.09.2022 · Обновлена ФСТЭК: 05.09.2025 · Выявлена: 15.02.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует (эксплойт известен, в открытом доступе не опубликован)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-400 — неконтролируемый расход ресурса («Истощение ресурса»); CWE-772 — неосвобождение ресурса после истечения действительного срока его эксплуатирования
Класс уязвимости	Уязвимость кода · Способ эксплуатации: исчерпание ресурсов

Уязвимое ПО

SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP3, 12 SP4, 15, 15 SP1, 12 SP5, 15 SP3, 15 SP2, 15 SP4, 15 SP5, 15 SP6, 15 SP7 · операционная система
Suse Linux Enterprise Server (Novell) — версии 12 SP3-LTSS, 12 SP3-BCL, 12 SP5, 12 SP3-ESPOS, 15-LTSS, 12 SP4-ESPOS, 12 SP4-LTSS, 15 SP1-BCL, 15 SP1-LTSS, 15 SP 3, 15 SP4, 15 SP2-BCL, 15 SP2-LTSS, 15 SP5, 15 SP6 и др. · операционная система
SUSE OpenStack Cloud (Novell) — версии 8, 9 · прикладное ПО информационных систем
SUSE OpenStack Cloud Crowbar (Novell) — версии 8, 9 · прикладное ПО информационных систем
SUSE Enterprise Storage (Novell) — версии 6, 7, 7.1 · прикладное ПО информационных систем
SUSE Linux Enterprise High Performance Computing (Novell) — версии 15-ESPOS, 15-LTSS, 15 SP1-LTSS, 15 SP1-ESPOS, 15 SP3, 15 SP2-ESPOS, 15 SP2-LTSS, 15 SP4, 15 SP5, 15 SP6, 15 SP7 · прикладное ПО информационных систем
openSUSE Tumbleweed (Novell) — операционная система
SUSE CaaS Platform (Novell) — 4.0 · прикладное ПО информационных систем
Fedora (Fedora Project) — версии 34, 35, 36 · операционная система
SUSE Linux Enterprise Module for Basesystem (Novell) — версии 15 SP3, 15 SP4, 15 SP5, 15 SP6, 15 SP7 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Desktop Applications (Novell) — 15 SP3 · прикладное ПО информационных систем
OpenSUSE Leap (Novell) — версии 15.3, 15.4 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 11, 12, 13 · операционная система
OpenShift Logging (Red Hat) — версии 5.2, 5.3 · прикладное ПО информационных систем
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
SUSE Manager Proxy (Novell) — версии 4.2, 4.1, 4.3 · прикладное ПО информационных систем
SUSE Manager Server (Novell) — версии 4.2, 4.1, 4.3 · прикладное ПО информационных систем
Suse Linux Enterprise Desktop (Novell) — версии 15 SP3, 15 SP4, 15 SP5, 15 SP6, 15 SP7 · операционная система
SUSE Linux Enterprise Micro (Novell) — версии 5.1, 5.2, 5.3, 5.4, 5.5 · прикладное ПО информационных систем
SUSE Manager Retail Branch Server (Novell) — версии 4.1, 4.2, 4.3 · сетевое программное средство
openSUSE Leap Micro (Novell) — 5.2 · операционная система
IBM Cloud Pak for Business (IBM) — версии до 21.0.3-IF009, до 21.0.2-IF011 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Containers (Novell) — версии 15 SP4, 15 SP5, 15 SP3, 15 SP6, 15 SP7 · прикладное ПО информационных систем
client golang (Prometheus Monitoring Community) — до 1.11.1 · прикладное ПО информационных систем
OpenShift (Red Hat) — 5.4 · прикладное ПО информационных систем
SUSE Linux Enterprise Module for Package Hub (Novell) — версии 15 SP5, 15 SP6, 15 SP7 · прикладное ПО информационных систем
SUSE Manager Server Module (Novell) — 4.1 · прикладное ПО информационных систем
SUSE Liberty Linux (Novell) — версии 9, 8 · операционная система
Elasticsearch exporter (Prometheus Monitoring Community) — 1.3.0 · прикладное ПО информационных систем
SUSE Manager Client Tools (Novell) — версии 12, 15, 12-BETA · прикладное ПО информационных систем
SUSE Manager Proxy Module (Novell) — версии 4.2, 4.3, 4.1 · прикладное ПО информационных систем
IBM Robotic Process Automation (IBM) — до 21.0.2.5 · прикладное ПО информационных систем
SUSE Linux Micro (Novell) — версии 6.0, 6.1 · операционная система, прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Если обновиться нельзя

— отключение/удаление неиспользуемых учетных записей пользователей;
— минимизация пользовательских привилегий;
— использование антивирусных средств защиты;
— контроль действий пользователей.
Использование рекомендаций

Для client_golang: github.com/prometheus/client_golang/releases/tag/v1.11.1
Для Fedora: lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…; lists.fedoraproject.org/archives/list/package-announce@li…
Для программных продуктов IBM Corp.: www.ibm.com/support/pages/node/6614451; www.ibm.com/support/pages/node/6596915
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2022-21698
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2022-21698
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2022-21698.html

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: