BDU:2021-01329

Опубликовано: 29 нояб. 2020

Источник: fstec

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость спецификации Open Connectivity Foundation UPnP связана с недостатком механизма стандартных разрешений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Fedora Project

Canonical Ltd.

АО «НППКТ»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Common Edition

Fedora

Astra Linux Special Edition для «Эльбрус»

Ubuntu

UPnP

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

31 (Fedora)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

32 (Fedora)

20.04 LTS (Ubuntu)

до 2.0.0 (UPnP)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2.1 (ОСОН ОСнова Оnyx)

до 2.6 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

до 3.1 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Fedora Project Fedora 32

Canonical Ltd. Ubuntu 20.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НППКТ» ОСОН ОСнова Оnyx до 2.6

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО «НППКТ» ОСОН ОСнова Оnyx до 3.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/L3SHL4LOFGHJ3DIXSUIQELGVBDJ7V7LB/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/MZDWHKGN3LMGSUEOAAVAMOD3IUIPJVOJ/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RQEYVY4D7LASH6AI4WK3IK2QBFHHF3Q2/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4494-1

Для UPnP:

https://w1.fi/security/2020-1/upnp-subscribe-misbehavior-wps-ap.txt

Для Debian:

https://security-tracker.debian.org/tracker/CVE-2020-12695

Для Astra Linux:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:

Обновление программного обеспечения wpa до версии 2:2.7+git20190128+0c1e29f-6+deb10u3

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения pupnp-1.8 до версии 1:1.8.4-2osnova0

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС ОН «Стрелец»:

Обновление программного обеспечения gssdp до версии 1.0.1-1+deb9u1

Обновление программного обеспечения gupnp до версии 1.0.1-1+deb9u1

Обновление программного обеспечения wpa до версии 2:2.4-1+deb9u9

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения pupnp-1.8 до версии 1:1.8.4-2osnova3u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-12695
CVE

EPSS

Процентиль: 97%

0.15193

Средний

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2020-2224

CVSS3: 7.5

altlinux

больше 6 лет назад

ALT-PU-2020-2224: package `libgupnp1.2` update to version 1.2.3-alt1

ALT-PU-2014-1157

CVSS3: 7.5

altlinux

больше 12 лет назад

ALT-PU-2014-1157: package `hostapd` update to version 2.1-alt1

CVE-2020-12695

CVSS3: 7.5

ubuntu

больше 6 лет назад

The Open Connectivity Foundation UPnP specification before 2020-04-17 does not forbid the acceptance of a subscription request with a delivery URL on a different network segment than the fully qualified event-subscription URL, aka the CallStranger issue.

CVE-2020-12695

CVSS3: 7.5

redhat

больше 6 лет назад

CVE-2020-12695

CVSS3: 7.5

nvd

больше 6 лет назад

EPSS

Процентиль: 97%

0.15193

Средний

7.8 High

CVSS2