BDU:2022-03180

Опубликовано: 30 апр. 2022

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость реализации конфигурации запроса информации о SSL-сертификате CURLOPT_CERTINFO утилиты командной строки cURL связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызывать отказ в обслуживании

Вендор

Red Hat Inc.

ООО «Ред Софт»

ООО «РусБИТех-Астра»

ФССП России

АО «ИВК»

Дэниел Стенберг

АО "НППКТ"

АО «НТЦ ИТ РОСА»

ООО «Открытая мобильная платформа»

Наименование ПО

Red Hat Software Collections

JBoss Core Services

РЕД ОС

Astra Linux Special Edition

ОС ТД АИС ФССП России

Альт 8 СП

cURL

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС Аврора

Версия ПО

- (Red Hat Software Collections)

- (JBoss Core Services)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

ИК6 (ОС ТД АИС ФССП России)

- (Альт 8 СП)

от 7.34.0 до 7.83.1 (cURL)

4.7 (Astra Linux Special Edition)

до 2.5 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 4.0.2.249 включительно (ОС Аврора)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ФССП России ОС ТД АИС ФССП России ИК6

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.249 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для cURL:

https://curl.se/docs/CVE-2022-27781.html

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-27781

Для ОС ТД АИС ФССП России:

https://goslinux.fssp.gov.ru/2726972/

Для Альт 8 СП:

https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Аврора:

https://cve.omp.ru/bb23402

Организационные меры:

Не рекомендуется использовать конфигурации запроса информации о SSL-сертификате CURLOPT_CERTINFO

Для ОСОН Основа:

Обновление программного обеспечения curl до версии 7.83.1-1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2411

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-27781
CVE

EPSS

Процентиль: 20%

0.00063

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

ROS-20220524-03

redos

около 3 лет назад

Множественные уязвимости cURL

CVE-2022-27781

CVSS3: 7.5

ubuntu

около 3 лет назад

libcurl provides the `CURLOPT_CERTINFO` option to allow applications torequest details to be returned about a server's certificate chain.Due to an erroneous function, a malicious server could make libcurl built withNSS get stuck in a never-ending busy-loop when trying to retrieve thatinformation.

CVE-2022-27781

CVSS3: 7.5

redhat

около 3 лет назад

CVE-2022-27781

CVSS3: 7.5

nvd

около 3 лет назад

CVE-2022-27781

CVSS3: 7.5

msrc

около 3 лет назад

Описание отсутствует

EPSS

Процентиль: 20%

0.00063

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2