Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01062

Опубликовано: 09 нояб. 2018
Источник: fstec
CVSS3: 4.7
CVSS2: 4.4
EPSS Низкий

Описание

Уязвимость функции crypto_report_one() (crypto/crypto_user.c) ядра операционной системы Linux связана с ошибками раскрытия информации. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Вендор

Canonical Ltd.
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat Inc.

Наименование ПО

Ubuntu
Debian GNU/Linux
Astra Linux Common Edition
Red Hat Enterprise Linux
Linux

Версия ПО

14.04 LTS (Ubuntu)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
от 4.15 до 4.18.19 включительно (Linux)
от 4.19.0 до 4.19.2 включительно (Linux)
от 4.12 до 4.14.81 включительно (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 18.10
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Linux до 4.19.3

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций
Для Linux:
http://git.kernel.org/cgit/linux/kernel/git/torvalds/linux.git/commit/?id=f43f39958beb206b53292801e216d9b8a660f087
Для Debian:
Обновление программного обеспечения (пакета linux-4.9) до 4.19 или более поздней версии
Для Astra Linux:
Обновление программного обеспечения (пакета linux-4.9) до 4.19 или более поздней версии
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/errata/RHSA-2019:3309
https://access.redhat.com/errata/RHSA-2019:3309
Для Ubuntu:
https://usn.ubuntu.com/3872-1/
https://usn.ubuntu.com/3878-1/
https://usn.ubuntu.com/3878-2/
https://usn.ubuntu.com/3901-1/
https://usn.ubuntu.com/3901-2/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 26%
0.00085
Низкий

4.7 Medium

CVSS3

4.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 4.7
ubuntu
больше 6 лет назад

An issue was discovered in the Linux kernel before 4.19.3. crypto_report_one() and related functions in crypto/crypto_user.c (the crypto user configuration API) do not fully initialize structures that are copied to userspace, potentially leaking sensitive memory to user programs. NOTE: this is a CVE-2013-2547 regression but with easier exploitability because the attacker does not need a capability (however, the system must have the CONFIG_CRYPTO_USER kconfig option).

CVSS3: 3.3
redhat
больше 6 лет назад

An issue was discovered in the Linux kernel before 4.19.3. crypto_report_one() and related functions in crypto/crypto_user.c (the crypto user configuration API) do not fully initialize structures that are copied to userspace, potentially leaking sensitive memory to user programs. NOTE: this is a CVE-2013-2547 regression but with easier exploitability because the attacker does not need a capability (however, the system must have the CONFIG_CRYPTO_USER kconfig option).

CVSS3: 4.7
nvd
больше 6 лет назад

An issue was discovered in the Linux kernel before 4.19.3. crypto_report_one() and related functions in crypto/crypto_user.c (the crypto user configuration API) do not fully initialize structures that are copied to userspace, potentially leaking sensitive memory to user programs. NOTE: this is a CVE-2013-2547 regression but with easier exploitability because the attacker does not need a capability (however, the system must have the CONFIG_CRYPTO_USER kconfig option).

CVSS3: 4.7
debian
больше 6 лет назад

An issue was discovered in the Linux kernel before 4.19.3. crypto_repo ...

CVSS3: 4.7
github
около 3 лет назад

An issue was discovered in the Linux kernel before 4.19.3. crypto_report_one() and related functions in crypto/crypto_user.c (the crypto user configuration API) do not fully initialize structures that are copied to userspace, potentially leaking sensitive memory to user programs. NOTE: this is a CVE-2013-2547 regression but with easier exploitability because the attacker does not need a capability (however, the system must have the CONFIG_CRYPTO_USER kconfig option).

EPSS

Процентиль: 26%
0.00085
Низкий

4.7 Medium

CVSS3

4.4 Medium

CVSS2