BDU:2022-02236

Опубликовано: 14 июл. 2021

Источник: fstec

CVSS3: 4.9

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость реализации протоколов TLS и SSL Mbed TLS связана с использованием функционала для декодирования base64 с непостоянным временем выполнения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

Сообщество свободного программного обеспечения

Fedora Project

ARM Limited

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Fedora

Mbed TLS

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

33 (Fedora)

34 (Fedora)

11 (Debian GNU/Linux)

до 2.26.0 (Mbed TLS)

до 2.6 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 33

Fedora Project Fedora 34

Сообщество свободного программного обеспечения Debian GNU/Linux 11

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,9)

Возможные меры по устранению уязвимости

Для Mbed TLS:

использование рекомендаций производителя: https://github.com/ARMmbed/mbedtls/releases/tag/v2.26.0

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-24119

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DRRVY7DMTX3ECFNZKDYTSFEG5AI2HBC6/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EYJW7HAW3TDV2YMDFYXP3HD6WRQRTLJW/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения mbedtls до версии 2.28.1-1

Для ОС ОН «Стрелец»:

Обновление программного обеспечения mbedtls до версии 2.4.2-1+deb9u4

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-24119
CVE

EPSS

Процентиль: 76%

0.00918

Низкий

4.9 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2021-24119

CVSS3: 4.9

ubuntu

больше 4 лет назад

In Trusted Firmware Mbed TLS 2.24.0, a side-channel vulnerability in base64 PEM file decoding allows system-level (administrator) attackers to obtain information about secret RSA keys via a controlled-channel and side-channel attack on software running in isolated environments that can be single stepped, especially Intel SGX.

CVE-2021-24119

CVSS3: 4.9

nvd

больше 4 лет назад

CVE-2021-24119

msrc

5 месяцев назад

CVE-2021-24119

CVSS3: 4.9

debian

больше 4 лет назад

In Trusted Firmware Mbed TLS 2.24.0, a side-channel vulnerability in b ...

openSUSE-SU-2021:1389-1

suse-cvrf

больше 4 лет назад

Security update for mbedtls

EPSS

Процентиль: 76%

0.00918

Низкий

4.9 Medium

CVSS3

6.8 Medium

CVSS2