BDU:2020-04348

Опубликовано: 21 авг. 2020

Источник: fstec

CVSS3: 7.8

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость функции cgroups ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Red Hat Inc.

ООО «Открытая мобильная платформа»

Наименование ПО

Debian GNU/Linux

Red Hat Enterprise Linux

ОС Аврора

Linux

Версия ПО

9 (Debian GNU/Linux)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

3.2.3.10 (ОС Аврора)

от 4.9.231 до 4.9.232 включительно (Linux)

от 4.19.134 до 4.19.139 включительно (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Linux от 4.9.0 до 4.9.233

Сообщество свободного программного обеспечения Linux от 4.14.0 до 4.14.194

Сообщество свободного программного обеспечения Linux от 4.19.0 до 4.19.140

ООО «Открытая мобильная платформа» ОС Аврора 3.2.3.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Нет опасности уровень опасности (базовая оценка CVSS 4.0 составляет 0)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Linux:

https://git.kernel.org/pub/scm/linux/kernel/git/stable/linux.git/commit/?h=linux-4.14.y&id=82fd2138a5ffd7e0d4320cdb669e115ee976a26e

https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.140

https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.233

https://cdn.kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.194

https://cdn.kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.140

https://cdn.kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.233

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2020-25220

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2020-25220

Для ОС Аврора:

https://cve.omprussia.ru/bb6323

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-25220
CVE

EPSS

Процентиль: 31%

0.00115

Низкий

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

CVE-2020-25220

CVSS3: 7.8

ubuntu

больше 5 лет назад

The Linux kernel 4.9.x before 4.9.233, 4.14.x before 4.14.194, and 4.19.x before 4.19.140 has a use-after-free because skcd->no_refcnt was not considered during a backport of a CVE-2020-14356 patch. This is related to the cgroups feature.

CVE-2020-25220

CVSS3: 7

redhat

больше 5 лет назад

CVE-2020-25220

CVSS3: 7.8

nvd

больше 5 лет назад

CVE-2020-25220

CVSS3: 7.8

debian

больше 5 лет назад

The Linux kernel 4.9.x before 4.9.233, 4.14.x before 4.14.194, and 4.1 ...

GHSA-m4f8-m4jg-vm84

github

больше 3 лет назад

EPSS

Процентиль: 31%

0.00115

Низкий

7.8 High

CVSS3

7.2 High

CVSS2