Описание
Уязвимость утилит управления пользователями useradd и adduser операционной системы ОСнова связана с использованием небезопасных настроек заданных по умолчанию. Эксплуатация уязвимости может позволить нарушителю получить доступ к защищаемой информации
Вендор
Сообщество свободного программного обеспечения
АО "НППКТ"
АО «Концерн ВНИИНС»
Наименование ПО
useradd
adduser
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»
Версия ПО
- (useradd)
- (adduser)
2.0 (ОСОН ОСнова Оnyx)
1.0 (ОС ОН «Стрелец»)
до 2.1 (ОСОН ОСнова Оnyx)
до 2.4.3 (ОСОН ОСнова Оnyx)
до 2.5.1 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО
Прикладное ПО информационных систем
Операционная система
Операционные системы и аппаратные платформы
АО "НППКТ" ОСОН ОСнова Оnyx 2.0
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,6)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,9)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://поддержка.нппкт.рф/bin/view/%D0%9E%D0%A1%D0%BD%D0%BE%D0%B2%D0%B0/%D0%A3%D1%8F%D0%B7%D0%B2%D0%B8%D0%BC%D0%BE%D1%81%D1%82%D0%B8/NVE-4785/
Утилиты useradd и adduser имеют небезопасные настройки по умолчанию, в результате при входе в систему пользователи имеют возможность получить состав домашнего каталога других локальных пользователей.
для утилиты useradd в файле /etc/login.defs изменить значение параметра UMASK на 077:
UMASK 077
выполнив команду:
$ sudo sed -i -e 's/^\(UMASK[[:space:]]\+\)022$/\1077/' /etc/login.defs
для утилиты adduser в файле /etc/adduser.conf изменить значение параметра DIR_MODE на 0700
DIR_MODE=0700
выполнив команду:
$ sudo sed -i -e "s/^DIR_MODE=.*$/DIR_MODE=0700/" /etc/adduser.conf
изменить права доступа для домашних каталогов пользователей, выполнив команду:
$ sudo find /home -mindepth 1 -maxdepth 1 -type d ! -name '.*' ! -uid 0 -exec chmod o-rwx {} \;
Использование рекомендаций для ОС Стрелец:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#240821regulyarnoe-obnovlenie
Для ОСОН Основа:
Обновление программного обеспечения shadow до версии 1:4.5-1.2osnova4
Для ОСОН Основа:
Обновление программного обеспечения adduser до версии 3.118+osnova7
Для ОСОН Основа:
Обновление программного обеспечения shadow до версии 1:4.5-1.2osnova6
Для ОСОН Основа:
Обновление программного обеспечения shadow до версии 1:4.5-1.2osnova7
Для ОСОН Основа:
Обновление программного обеспечения adduser до версии 3.118+osnova8
Для ОС ОН «Стрелец»:
Обновление программного обеспечения shadow до версии 1:4.4-4.1+deb9u1.osnova4
Обновление программного обеспечения adduser до версии 3.118+osnova6
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
3.9 Low
CVSS3
3.6 Low
CVSS2
3.9 Low
CVSS3
3.6 Low
CVSS2