BDU:2022-05544

Опубликовано: 06 сент. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость пакета net/http языка программирования Go связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

The Go Project

АО «НППКТ»

АО «Концерн ВНИИНС»

АО «Экзософт»

Наименование ПО

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

VMmanager 6

Версия ПО

до 1.18.6 (Go)

до 1.19.1 (Go)

до 2.6 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

до 6.2.2026.05.2 (VMmanager 6)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

АО «НППКТ» ОСОН ОСнова Оnyx до 2.6

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО «Экзософт» VMmanager 6 до 6.2.2026.05.2

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://groups.google.com/g/golang-announce/c/x49AQzIVX-s

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6

Для ОС ОН «Стрелец»:

Обновление программного обеспечения golang-1.11 до версии 1.11.6-1+deb10u4.osnova6strelets

Обновление программного обеспечения golang-1.15 до версии 1.15.9-3.osnova6.strelets

Для VMmanager 6:

обновление программного обеспечения, применение оперативного обновления Vmmanager 6 6.2.2026.05.2, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-27664
CVE

EPSS

Процентиль: 89%

0.03487

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ALT-PU-2022-2615

CVSS3: 9.8

altlinux

около 4 лет назад

ALT-PU-2022-2615: package `golang` update to version 1.18.6-alt1

CVE-2022-27664

CVSS3: 7.5

ubuntu

около 4 лет назад

In net/http in Go before 1.18.6 and 1.19.x before 1.19.1, attackers can cause a denial of service because an HTTP/2 connection can hang during closing if shutdown were preempted by a fatal error.

CVE-2022-27664

CVSS3: 6.5

redhat

около 4 лет назад

In net/http in Go before 1.18.6 and 1.19.x before 1.19.1, attackers can cause a denial of service because an HTTP/2 connection can hang during closing if shutdown were preempted by a fatal error.

CVE-2022-27664

CVSS3: 7.5

nvd

около 4 лет назад

In net/http in Go before 1.18.6 and 1.19.x before 1.19.1, attackers can cause a denial of service because an HTTP/2 connection can hang during closing if shutdown were preempted by a fatal error.

CVE-2022-27664

CVSS3: 7.5

msrc

около 3 лет назад

Описание отсутствует

EPSS

Процентиль: 89%

0.03487

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2