Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-04284

Опубликовано: 05 июл. 2022
Источник: fstec
CVSS3: 3.7
CVSS2: 2.6
EPSS Низкий

Описание

Уязвимость режима AES OCB библиотеки OpenSSL с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

Canonical Ltd.
ООО «РусБИТех-Астра»
Red Hat Inc.
Сообщество свободного программного обеспечения
Novell Inc.
АО «ИВК»
OpenSSL Software Foundation
АО "НППКТ"
АО «НТЦ ИТ РОСА»

Наименование ПО

Ubuntu
Astra Linux Special Edition
Red Hat Enterprise Linux
Jboss Web Server
Debian GNU/Linux
JBoss Core Services
OpenSUSE Leap
Альт 8 СП
OpenSSL
ОСОН ОСнова Оnyx
ROSA Virtualization
АЛЬТ СП 10

Версия ПО

18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
5.0 (Jboss Web Server)
10 (Debian GNU/Linux)
- (JBoss Core Services)
3 (Jboss Web Server)
20.04 LTS (Ubuntu)
15.3 (OpenSUSE Leap)
11 (Debian GNU/Linux)
21.10 (Ubuntu)
1.7 (Astra Linux Special Edition)
15.4 (OpenSUSE Leap)
- (Альт 8 СП)
22.04 LTS (Ubuntu)
9 (Red Hat Enterprise Linux)
от 1.1.1 до 1.1.1q (OpenSSL)
от 3.0 до 3.0.5 (OpenSSL)
4.7 (Astra Linux Special Edition)
до 2.6 (ОСОН ОСнова Оnyx)
2.1 (ROSA Virtualization)
- (АЛЬТ СП 10)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Программное средство защиты

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Novell Inc. OpenSUSE Leap 15.3
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Canonical Ltd. Ubuntu 21.10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Novell Inc. OpenSUSE Leap 15.4
АО «ИВК» Альт 8 СП -
Canonical Ltd. Ubuntu 22.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.6
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для OpenSSL:
https://www.openssl.org/news/secadv/20220705.txt
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-2097
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-2097.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-2097
Для Ubuntu:
https://ubuntu.com/security/notices/USN-5502-1
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения openssl до версии 1.1.1n-0+deb11u3osnova0
Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD
Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2211
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для Astra Linux 1.6 «Смоленск»:
обновить пакет openssl до 1.1.1n-0+deb11u4-deb11u5-astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 72%
0.0075
Низкий

3.7 Low

CVSS3

2.6 Low

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2022-2097

CVSS3: 5.3
ubuntu
около 3 лет назад

AES OCB mode for 32-bit x86 platforms using the AES-NI assembly optimised implementation will not encrypt the entirety of the data under some circumstances. This could reveal sixteen bytes of data that was preexisting in the memory that wasn't written. In the special case of "in place" encryption, sixteen bytes of the plaintext would be revealed. Since OpenSSL does not support OCB based cipher suites for TLS and DTLS, they are both unaffected. Fixed in OpenSSL 3.0.5 (Affected 3.0.0-3.0.4). Fixed in OpenSSL 1.1.1q (Affected 1.1.1-1.1.1p).

redhat логотип

CVE-2022-2097

CVSS3: 5.3
redhat
около 3 лет назад

AES OCB mode for 32-bit x86 platforms using the AES-NI assembly optimised implementation will not encrypt the entirety of the data under some circumstances. This could reveal sixteen bytes of data that was preexisting in the memory that wasn't written. In the special case of "in place" encryption, sixteen bytes of the plaintext would be revealed. Since OpenSSL does not support OCB based cipher suites for TLS and DTLS, they are both unaffected. Fixed in OpenSSL 3.0.5 (Affected 3.0.0-3.0.4). Fixed in OpenSSL 1.1.1q (Affected 1.1.1-1.1.1p).

nvd логотип

CVE-2022-2097

CVSS3: 5.3
nvd
около 3 лет назад

AES OCB mode for 32-bit x86 platforms using the AES-NI assembly optimised implementation will not encrypt the entirety of the data under some circumstances. This could reveal sixteen bytes of data that was preexisting in the memory that wasn't written. In the special case of "in place" encryption, sixteen bytes of the plaintext would be revealed. Since OpenSSL does not support OCB based cipher suites for TLS and DTLS, they are both unaffected. Fixed in OpenSSL 3.0.5 (Affected 3.0.0-3.0.4). Fixed in OpenSSL 1.1.1q (Affected 1.1.1-1.1.1p).

msrc логотип

CVE-2022-2097

CVSS3: 5.3
msrc
около 3 лет назад

Описание отсутствует

debian логотип

CVE-2022-2097

CVSS3: 5.3
debian
около 3 лет назад

AES OCB mode for 32-bit x86 platforms using the AES-NI assembly optimi ...

EPSS

Процентиль: 72%
0.0075
Низкий

3.7 Low

CVSS3

2.6 Low

CVSS2