BDU:2019-02944

Опубликовано: 19 нояб. 2018

Источник: fstec

CVSS3: 8.1

CVSS2: 9.3

EPSS Низкий

Описание

Уязвимость реализации функции контроля доступа на основе ролей Role Based Access Control (RBAC) хранилища параметров конфигурации Etcd связана с ошибками аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации путем отправки запроса по технологии REST API через gRPC-шлюз

Вендор

Red Hat Inc.

Fedora Project

Cloud Native Computing Foundation

АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux

Fedora

Etcd

ОС ОН «Стрелец»

Версия ПО

Server 7.0 (Red Hat Enterprise Linux)

Desktop 7.0 (Red Hat Enterprise Linux)

Workstation 7.0 (Red Hat Enterprise Linux)

30 (Fedora)

от 3.2.0 до 3.2.25 включительно (Etcd)

от 3.3.0 до 3.3.10 включительно (Etcd)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux Server 7.0

Red Hat Inc. Red Hat Enterprise Linux Desktop 7.0

Red Hat Inc. Red Hat Enterprise Linux Workstation 7.0

Fedora Project Fedora 30

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-16886

Для программных продуктов Fedora Project:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JX7QTIT465BQGRGNCE74RATRQLKT2QE4/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UPGYHMSKDPW5GAMI7BEP3XQRVRLLBJKS/

Для программных продуктов Cloud Native Computing Foundation:

https://github.com/etcd-io/etcd/pull/10366

https://github.com/etcd-io/etcd/commit/0191509637546621d6f2e18e074e955ab8ef374d

Для ОС ОН «Стрелец»:

Обновление программного обеспечения etcd до версии 3.2.26+dfsg-3strelets0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-16886
CVE

EPSS

Процентиль: 73%

0.00757

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2018-16886

CVSS3: 8.1

ubuntu

около 7 лет назад

etcd versions 3.2.x before 3.2.26 and 3.3.x before 3.3.11 are vulnerable to an improper authentication issue when role-based access control (RBAC) is used and client-cert-auth is enabled. If an etcd client server TLS certificate contains a Common Name (CN) which matches a valid RBAC username, a remote attacker may authenticate as that user with any valid (trusted) client certificate in a REST API request to the gRPC-gateway.

CVE-2018-16886

CVSS3: 6.8

redhat

около 7 лет назад

CVE-2018-16886

CVSS3: 8.1

nvd

около 7 лет назад

CVE-2018-16886

CVSS3: 8.1

debian

около 7 лет назад

etcd versions 3.2.x before 3.2.26 and 3.3.x before 3.3.11 are vulnerab ...

GHSA-h6xx-pmxh-3wgp

CVSS3: 8.1

github

почти 4 года назад

go.etcd.io/etcd Authentication Bypass

EPSS

Процентиль: 73%

0.00757

Низкий

8.1 High

CVSS3

9.3 Critical

CVSS2