BDU:2022-07046 (CVE-2020-25827) — уязвимость расширения OATHAuth программного средства для реализации гипертекстовой среды MediaWiki

По данным БДУ ФСТЭК России, по состоянию на 13.09.2024.

Высокий — 7.5/10 Публичный эксплойт Устранена

Уязвимость расширения OATHAuth программного средства для реализации гипертекстовой среды MediaWiki связана с недостаточным ограничением попыток аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности с помощью атаки методом «грубой силы» (brute force)

Кого касается и что делать

Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; Fedora (Fedora Project) — версии 33; MediaWiki (Сообщество свободного программного обеспечения) — версии до 1.31.10, от 1.32.0 до 1.34.4; и ещё 1 позиция
Что делать: уязвимость устранена производителем — применить исправления: lists.wikimedia.org, lists.fedoraproject.org, security-tracker.debian.org
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-07046 · CVE-2020-25827
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на целостность
Наименование ФСТЭК	Уязвимость расширения OATHAuth программного средства для реализации гипертекстовой среды MediaWiki, позволяющая нарушителю обойти существующие ограничения безопасности с помощью атаки методом «грубой силы» (brute force)
Даты	Опубликована: 30.11.2022 · Обновлена ФСТЭК: 13.09.2024 · Выявлена: 27.09.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-307 — недостаточное ограничение попыток аутентификации
Класс уязвимости	Уязвимость архитектуры · Способ эксплуатации: нарушение аутентификации

Уязвимое ПО

Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
Fedora (Fedora Project) — 33 · операционная система
MediaWiki (Сообщество свободного программного обеспечения) — версии до 1.31.10, от 1.32.0 до 1.34.4 · прикладное ПО информационных систем
ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для MediaWiki: lists.wikimedia.org/hyperkitty/list/mediawiki-l@lists.wik…
Для Fedora: lists.fedoraproject.org/archives/list/package-announce@li…
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2020-25827
Для ОС ОН «Стрелец»: Обновление программного обеспечения mediawiki до версии 1:1.27.7-1+deb9u11

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: