Уязвимость BDU:2022-06445

Дата: 21.10.2022. Автор: ФСТЭК России. Категории: Уязвимости

Идентификатор: BDU:2022-06445.

Наименование уязвимости: Уязвимость криптографической хэш-функции SHA-3 программного пакета eXtended Keccak Code Package (XKCP), позволяющая нарушителю выполнить произвольный код.

Описание уязвимости: Уязвимость криптографической хэш-функции SHA-3 программного пакета eXtended Keccak Code Package (XKCP) связана с ошибками при блочной обработке входных данных и приведении типов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в процессе вычисления хэша специально сформированного файла
Уязвимое ПО: Операционная система АО «ИВК» Альт 8 СП — | Прикладное ПО информационных систем eXtended Keccak Code Package — |

Наименование ОС и тип аппаратной платформы: Альт 8 СП — |
Дата выявления: 21.10.2022.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
— ограничение максимального размера данных, участвующих в одной итерации вычисления хэша.

Использование рекомендаций:
https://github.com/XKCP/XKCP/security/advisories/GHSA-6w4m-2xhg-2658
https://github.com/XKCP/XKCP/commit/fdc6fef075f4e81d6b1bc38364248975e08e340a

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-37454.

Тип ошибки CWE: CWE-20, CWE-120
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://csrc.nist.gov/projects/hash-functions/sha-3-project
https://github.com/XKCP/XKCP/security/advisories/GHSA-6w4m-2xhg-2658
https://mouha.be/sha-3-buffer-overflow/
https://news.ycombinator.com/item?id=33281106
https://altsp.su/obnovleniya-bezopasnosti/
https://altsp.su/obnovleniya-bezopasnosti/

Об авторе ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Читать все записи автора ФСТЭК России

Добавить комментарий

Ваш адрес email не будет опубликован. Обязательные поля помечены *