Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-03203

Опубликовано: 23 мар. 2022
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Средний

Описание

Уязвимость реализации протокола OpenLDAP связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданного запроса

Вендор

Red Hat Inc.
Novell Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
АО «ИВК»
OpenLDAP
АО "НППКТ"
ООО «Юбитех»
АО «НТЦ ИТ РОСА»
АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux
Suse Linux Enterprise Server
Debian GNU/Linux
РЕД ОС
Astra Linux Special Edition
Альт 8 СП
OpenLDAP
ОСОН ОСнова Оnyx
UBLinux
ROSA Virtualization
ОС ОН «Стрелец»
ROSA Virtualization 3.0

Версия ПО

6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
12 SP3 (Suse Linux Enterprise Server)
12 SP4 (Suse Linux Enterprise Server)
12 SP2-BCL (Suse Linux Enterprise Server)
12 SP3-LTSS (Suse Linux Enterprise Server)
12 SP3-BCL (Suse Linux Enterprise Server)
12 SP5 (Suse Linux Enterprise Server)
10 (Debian GNU/Linux)
12 SP3-ESPOS (Suse Linux Enterprise Server)
15-LTSS (Suse Linux Enterprise Server)
12 SP4-ESPOS (Suse Linux Enterprise Server)
12 SP4-LTSS (Suse Linux Enterprise Server)
15-ESPOS (Suse Linux Enterprise Server)
15 SP1-LTSS (Suse Linux Enterprise Server)
11 (Debian GNU/Linux)
12 (Suse Linux Enterprise Server)
15 SP2 LTSS (Suse Linux Enterprise Server)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
15 SP3 (Suse Linux Enterprise Server)
- (Альт 8 СП)
15 SP4 (Suse Linux Enterprise Server)
от 2.0 до 2.5.12 (OpenLDAP)
от 2.6.0 до 2.6.2 (OpenLDAP)
4.7 (Astra Linux Special Edition)
до 2.5 (ОСОН ОСнова Оnyx)
до 2204 (UBLinux)
2.1 (ROSA Virtualization)
до 16.01.2023 (ОС ОН «Стрелец»)
3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6
Red Hat Inc. Red Hat Enterprise Linux 7
Novell Inc. Suse Linux Enterprise Server 12 SP3
Novell Inc. Suse Linux Enterprise Server 12 SP4
Novell Inc. Suse Linux Enterprise Server 12 SP2-BCL
Novell Inc. Suse Linux Enterprise Server 12 SP3-LTSS
Novell Inc. Suse Linux Enterprise Server 12 SP3-BCL
Novell Inc. Suse Linux Enterprise Server 12 SP5
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Novell Inc. Suse Linux Enterprise Server 12 SP3-ESPOS
Novell Inc. Suse Linux Enterprise Server 15-LTSS
Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS
Novell Inc. Suse Linux Enterprise Server 12 SP4-LTSS
Novell Inc. Suse Linux Enterprise Server 15-ESPOS
Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Novell Inc. Suse Linux Enterprise Server 12
Novell Inc. Suse Linux Enterprise Server 15 SP2 LTSS
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Novell Inc. Suse Linux Enterprise Server 15 SP3
АО «ИВК» Альт 8 СП -
Novell Inc. Suse Linux Enterprise Server 15 SP4
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.5
ООО «Юбитех» UBLinux до 2204
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для OpenLDAP:
Обновление программного обеспечения до актуальной версии
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2022/05/msg00032.html
https://www.debian.org/security/2022/dsa-5140
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-29155
Для UBLinux:
https://security.ublinux.ru/CVE-2022-29155
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openldap-cve-2022-29155/
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-29155.html
Для ОСОН Основа:
Обновление программного обеспечения openldap до версии 2.4.47+dfsg-3+deb10u7
Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0727SE47
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС ОН «Стрелец»:
Обновление программного обеспечения openldap до версии 2.4.44+dfsg-5+deb9u9
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2439
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2686

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 95%
0.20934
Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
redos
почти 2 года назад

Уязвимость OpenLDAP

CVSS3: 9.8
ubuntu
около 3 лет назад

In OpenLDAP 2.x before 2.5.12 and 2.6.x before 2.6.2, a SQL injection vulnerability exists in the experimental back-sql backend to slapd, via a SQL statement within an LDAP query. This can occur during an LDAP search operation when the search filter is processed, due to a lack of proper escaping.

CVSS3: 6.5
redhat
около 3 лет назад

In OpenLDAP 2.x before 2.5.12 and 2.6.x before 2.6.2, a SQL injection vulnerability exists in the experimental back-sql backend to slapd, via a SQL statement within an LDAP query. This can occur during an LDAP search operation when the search filter is processed, due to a lack of proper escaping.

CVSS3: 9.8
nvd
около 3 лет назад

In OpenLDAP 2.x before 2.5.12 and 2.6.x before 2.6.2, a SQL injection vulnerability exists in the experimental back-sql backend to slapd, via a SQL statement within an LDAP query. This can occur during an LDAP search operation when the search filter is processed, due to a lack of proper escaping.

CVSS3: 9.8
msrc
около 3 лет назад

Описание отсутствует

EPSS

Процентиль: 95%
0.20934
Средний

9.8 Critical

CVSS3

10 Critical

CVSS2