BDU:2023-00348

Опубликовано: 05 дек. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость анализатора HTTP-кода llhttp программного обеспечения для управления сетевой инфраструктурой SINEC INS (Infrastructure Network Services) связана с возможностью обхода механизма аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Novell Inc.

Siemens AG

Node.js Foundation

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Red Hat Software Collections

OpenSUSE Leap

SINEC INS

Node.js

Версия ПО

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

- (Red Hat Software Collections)

15.3 (OpenSUSE Leap)

11 (Debian GNU/Linux)

15.4 (OpenSUSE Leap)

9 (Red Hat Enterprise Linux)

до 1.0 SP2 Update 1 (SINEC INS)

от 14.0.0 до 14.14.0 включительно (Node.js)

от 14.15.0 до 14.20.1 включительно (Node.js)

от 16.0.0 до 16.12.0 включительно (Node.js)

от 16.13.0 до 16.17.1 (Node.js)

от 18.0.0 до 18.9.1 (Node.js)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое средство

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Novell Inc. OpenSUSE Leap 15.3

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Novell Inc. OpenSUSE Leap 15.4

Red Hat Inc. Red Hat Enterprise Linux 9

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничение подключения к программному продукту из сетей общего пользования (Интернет);

- сегментирование сети с целью ограничения доступа к промышленному сегменту из других подсетей;

- применение средств межсетевого экранирования уровня веб-приложений.

Использование рекомендаций производителя:

Для Siemens AG:

https://cert-portal.siemens.com/productcert/pdf/ssa-332410.pdf

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-35256

Для Node:

https://github.com/nodejs/node/commit/2e92e5b71d071cb989d8d109d278427041a47e44

https://github.com/nodejs/node/commit/a9f1146b8827855e342834458a71f2367346ace0

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2022-35256

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2022-35256.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-35256
CVE

EPSS

Процентиль: 87%

0.03548

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-35256

CVSS3: 6.5

ubuntu

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVE-2022-35256

CVSS3: 6.5

redhat

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVE-2022-35256

CVSS3: 6.5

nvd

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctly handle header fields that are not terminated with CLRF. This may result in HTTP Request Smuggling.

CVE-2022-35256

CVSS3: 6.5

msrc

больше 2 лет назад

Описание отсутствует

CVE-2022-35256

CVSS3: 6.5

debian

больше 2 лет назад

The llhttp parser in the http module in Node v18.7.0 does not correctl ...

EPSS

Процентиль: 87%

0.03548

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2