Описание
Уязвимость функции X509_aux_print() библиотеки OpenSSL связана с чтением за границами буфера в памяти при обработке строк ASN.1. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании
Вендор
ООО «РусБИТех-Астра»
Сообщество свободного программного обеспечения
АО «Концерн ВНИИНС»
OpenSSL Software Foundation
ООО «Ред Софт»
АО «ИВК»
АО «НППКТ»
АО «НТЦ ИТ РОСА»
Hitachi, Ltd.
Наименование ПО
Astra Linux Special Edition
Debian GNU/Linux
Astra Linux Special Edition для «Эльбрус»
ОС ОН «Стрелец»
OpenSSL
РЕД ОС
Альт 8 СП
ОСОН ОСнова Оnyx
ROSA Virtualization
RTU500 series CMU
АЛЬТ СП 10
ROSA Virtualization 3.0
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
1.0 (ОС ОН «Стрелец»)
от 1.1.1 до 1.1.1l (OpenSSL)
от 1.0.2 до 1.0.2za (OpenSSL)
11 (Debian GNU/Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
до 2.3 (ОСОН ОСнова Оnyx)
до 2.4.2 (ОСОН ОСнова Оnyx)
2.1 (ROSA Virtualization)
от 13.3.1 до 13.3.3 включительно (RTU500 series CMU)
от 12.0.1 до 12.0.14 включительно (RTU500 series CMU)
от 12.2.1 до 12.2.11 включительно (RTU500 series CMU)
от 12.4.1 до 12.4.11 включительно (RTU500 series CMU)
от 12.6.1 до 12.6.8 включительно (RTU500 series CMU)
от 12.7.1 до 12.7.5 включительно (RTU500 series CMU)
от 13.2.1 до 13.2.5 включительно (RTU500 series CMU)
13.4.1 (RTU500 series CMU)
- (АЛЬТ СП 10)
до 16.01.2023 (ОС ОН «Стрелец»)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Программное средство защиты
ПО виртуализации/ПО виртуального программно-аппаратного средства
Средство АСУ ТП
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
АО «НППКТ» ОСОН ОСнова Оnyx до 2.3
АО «НППКТ» ОСОН ОСнова Оnyx до 2.4.2
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «ИВК» АЛЬТ СП 10 -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,4)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для OpenSSL:
https://www.openssl.org/news/secadv/20210824.txt
Для Debian GNU/Linux:
https://www.debian.org/security/2021/dsa-4963
Для Astra Linux:
Использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#08112021operativnoe-obnovlenie
Для ОСОН Основа:
Обновление программного обеспечения openssl до версии 1.1.1d-0+deb10u7
Для продуктов Hitachi Energy:
https://www.cisa.gov/news-events/ics-advisories/icsa-23-143-02
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры:
- использование средств межсетевого экранирования с целью ограничения доступа систем управления процессами от других сетей;
- использование физических средств защиты от получения доступа к системам управления неуполномоченного персонала;
- исключение доступа систем управления технологическим процессом к общедоступных сетям (Интернет);
- использование средств антивирусной защиты с целью проверки компьютеров и съемных носителей на наличие вирусов;
- использование рекомендуемых методов обеспечения безопасности и конфигурации межсетевых экранов
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства
Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2211
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
- обновить пакет openssl1.0 до 1.0.2u-1~deb9u7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
- обновить пакет openssl до 1.1.1d-2astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения openssl до версии 1.1.1d-0+deb10u7strelets1
Обновление программного обеспечения openssl1.0 до версии 1.0.2u-1~deb9u7
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2898
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2897
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
- ROS
EPSS
Процентиль: 99%
0.48084
Средний
7.4 High
CVSS3
7.1 High
CVSS2
Связанные уязвимости
CVSS3: 7.4
altlinux
около 5 лет назад
ALT-PU-2021-2637: package `LibreSSL` update to version 3.3.4-alt1
CVSS3: 9.8
altlinux
около 5 лет назад
ALT-PU-2021-2646: package `openssl1.1` update to version 1.1.1l-alt1
CVSS3: 9.8
altlinux
около 5 лет назад
ALT-PU-2021-2615: package `openssl1.1` update to version 1.1.1l-alt1
CVSS3: 9.8
altlinux
больше 3 лет назад
ALT-PU-2023-4398: package `LibreSSL` update to version 3.7.3-alt1
EPSS
Процентиль: 99%
0.48084
Средний
7.4 High
CVSS3
7.1 High
CVSS2