BDU:2022-06097 (CVE-2021-34422) — уязвимость клиента каталога открытых ключей Keybase для Windows

По данным БДУ ФСТЭК России, по состоянию на 04.10.2022.

Высокий — 7.2/10 Устранена

Уязвимость клиента каталога открытых ключей Keybase для Windows связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Кого касается и что делать

Уязвимое ПО: Keybase (Zoom Video Communications) — версии до 5.7.0
Что делать: уязвимость устранена производителем — применить исправления: explore.zoom.us

Сведения об уязвимости

Идентификаторы	BDU:2022-06097 · CVE-2021-34422
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.2; CVSS 2.0 — 6.4)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:L/A:N атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность
Наименование ФСТЭК	Уязвимость клиента каталога открытых ключей Keybase для Windows, позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 04.10.2022 · Обновлена ФСТЭК: 04.10.2022 · Выявлена: 09.11.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами