BDU:2023-07854

Опубликовано: 02 нояб. 2023

Источник: fstec

CVSS3: 6.6

CVSS2: 6.2

EPSS Низкий

Описание

Уязвимость системы управления конфигурациями Ansible связана с неверным управлением генерацией кода при обработке шаблонов. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Вендор

ООО «РусБИТех-Астра»

Fedora Project

Red Hat, Inc.

ООО «Тантор Лабс»

АО «НППКТ»

АО «Экзософт»

Наименование ПО

Astra Linux Special Edition

Fedora

Red Hat Ansible Automation Platform

Ansible

СУБД «Tantor»

ОСОН ОСнова Оnyx

VMmanager 6

Версия ПО

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

39 (Fedora)

2 (Red Hat Ansible Automation Platform)

1.2 (Red Hat Ansible Automation Platform)

до 2.14.12 (Ansible)

от 2.15.0 до 2.16 (Ansible)

15 (СУБД «Tantor»)

до 2.15 (ОСОН ОСнова Оnyx)

до 6.2.2026.05.2 (VMmanager 6)

Тип ПО

Операционная система

Сетевое программное средство

Прикладное ПО информационных систем

СУБД

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 39

АО «НППКТ» ОСОН ОСнова Оnyx до 2.15

АО «Экзософт» VMmanager 6 до 6.2.2026.05.2

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,2)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,6)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS) для отслеживания подключений к устройству;

- ограничение доступа к устройству из внешних сетей (Интернет);

- отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-5764

Для СУБД «Tantor»:

обновление программного обеспечения, применение оперативного обновления СУБД «Tantor» 15.10, предоставляемого в личном кабинете пользователя https://lk-new.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Для ОС Astra Linux:

обновить пакет ansible до 2.10.7+merged+base+2.10.17+dfsg-0+deb11u2+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17

Для ОС Astra Linux:

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения ansible до версии 2.10.7+merged+base+2.10.17+dfsg-0+deb11u1

Для VMmanager 6:

обновление программного обеспечения, применение оперативного обновления Vmmanager 6 6.2.2026.05.2, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-5764
CVE

EPSS

Процентиль: 48%

0.00574

Низкий

6.6 Medium

CVSS3

6.2 Medium

CVSS2

Связанные уязвимости

ALT-PU-2023-7978

CVSS3: 7.8

altlinux

почти 3 года назад

ALT-PU-2023-7978: package `ansible-core` update to version 2.16.1-alt1

ALT-PU-2024-2153

CVSS3: 7.8

altlinux

больше 2 лет назад

ALT-PU-2024-2153: package `ansible-core` update to version 2.15.9-alt0.p10.1

CVE-2023-5764

CVSS3: 7.8

ubuntu

почти 3 года назад

A template injection flaw was found in Ansible where a user's controller internal templating operations may remove the unsafe designation from template data. This issue could allow an attacker to use a specially crafted file to introduce templating injection when supplying templating data.

CVE-2023-5764

CVSS3: 7.1

redhat

около 3 лет назад

CVE-2023-5764

CVSS3: 7.8

nvd

почти 3 года назад

EPSS

Процентиль: 48%

0.00574

Низкий

6.6 Medium

CVSS3

6.2 Medium

CVSS2