BDU:2022-04487

Опубликовано: 07 июл. 2022

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость набора утилит командной строки BusyBox связана с ошибками при проверке ввода записей PTR DNS, выводимых в утилите netstat, если она выполняется на совместимом с VT терминале. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды оболочки в целевой системе

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

ФССП России

Сообщество свободного программного обеспечения

АО "НППКТ"

ООО «Открытая мобильная платформа»

АО «НТЦ ИТ РОСА»

Наименование ПО

РЕД ОС

Astra Linux Special Edition

ОС ТД АИС ФССП России

BusyBox

ОСОН ОСнова Оnyx

ОС Аврора

РОСА ХРОМ

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

ИК6 (ОС ТД АИС ФССП России)

до 1.35.0 включительно (BusyBox)

4.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

до 4.0.2.209 включительно (ОС Аврора)

12.4 (РОСА ХРОМ)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ФССП России ОС ТД АИС ФССП России ИК6

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

ООО «Открытая мобильная платформа» ОС Аврора до 4.0.2.209 включительно

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для BusyBox:

https://gitlab.alpinelinux.org/alpine/aports/-/issues/13661

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Аврора:

https://cve.omprussia.ru/bb21

https://cve.omprussia.ru/bb22402

Для ОС ТД АИС ФССП России:

https://goslinux.fssp.gov.ru/2726972/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения busybox до версии 1:1.30.1-7ubuntu3osnova6u1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2426

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-28391
CVE

EPSS

Процентиль: 87%

0.03543

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20220714-01

redos

около 3 лет назад

Уязвимость BusyBox

CVE-2022-28391

CVSS3: 8.8

ubuntu

больше 3 лет назад

BusyBox through 1.35.0 allows remote attackers to execute arbitrary code if netstat is used to print a DNS PTR record's value to a VT compatible terminal. Alternatively, the attacker could choose to change the terminal's colors.

CVE-2022-28391

CVSS3: 6.5

redhat

больше 3 лет назад

CVE-2022-28391

CVSS3: 8.8

nvd

больше 3 лет назад

CVE-2022-28391

CVSS3: 8.8

msrc

больше 3 лет назад

Описание отсутствует

EPSS

Процентиль: 87%

0.03543

Низкий

8.8 High

CVSS3

10 Critical

CVSS2