BDU:2023-03437

Опубликовано: 26 июн. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость реализации сетевого протокола Kerberos операционных систем Debian GNU/Linux, Red Hat Enterprise Linux, Ubuntu, Fedora, Альт 8 СП связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Canonical Ltd.

Сообщество свободного программного обеспечения

Fedora Project

Oracle Corp.

АО «ИВК»

АО "НППКТ"

VMware Inc.

MIT

АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux

Ubuntu

Debian GNU/Linux

Fedora

Red Hat Virtualization

MySQL Server

Альт 8 СП

Communications Cloud Native Core Policy

Oracle Communications Offline Mediation Controller

ОСОН ОСнова Оnyx

VMware ESXi

Kerberos

Communications Pricing Design Center

ОС ОН «Стрелец»

Версия ПО

8 (Red Hat Enterprise Linux)

14.04 ESM (Ubuntu)

10 (Debian GNU/Linux)

31 (Fedora)

32 (Fedora)

20.04 LTS (Ubuntu)

20.10 (Ubuntu)

33 (Fedora)

4 for RHEL 8 (Red Hat Virtualization)

16.04 ESM (Ubuntu)

от 8.0.0 до 8.0.23 включительно (MySQL Server)

11 (Debian GNU/Linux)

- (Альт 8 СП)

1.14.0 (Communications Cloud Native Core Policy)

12.0.0.3 (Oracle Communications Offline Mediation Controller)

до 2.1 (ОСОН ОСнова Оnyx)

18.04 ESM (Ubuntu)

8.0 (VMware ESXi)

7.0 (VMware ESXi)

до 1.17.2 (Kerberos)

от 1.18.0 до 1.18.3 (Kerberos)

12.0.0.3.0 (Communications Pricing Design Center)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

СУБД

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

Fedora Project Fedora 32

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 20.10

Fedora Project Fedora 33

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

АО «ИВК» Альт 8 СП -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.1

Canonical Ltd. Ubuntu 18.04 ESM

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Kerberos:

https://github.com/krb5/krb5/commit/57415dda6cf04e73ffc3723be518eddfae599bfd

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpujul2021.html

https://www.oracle.com/security-alerts/cpuapr2021.html

https://www.oracle.com/security-alerts/cpuapr2022.html

Для VMware ESXi:

Обновление 7.0U3i-20842708 для гипервизора VMware ESXi 7.0

Обновление 8.0b-21203435 для гипервизора VMware ESXi 8.0

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KPH2V3WSQTELROZK3GFCPQDOFLKIZ6H5/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/73IGOG6CZAVMVNS4GGRMOLOZ7B6QVA7F/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/45KKOZQWIIIW5C45PJVGQ32AXBSYNBE7/

Для 8 СП:

https://cve.basealt.ru/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2020-28196

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2020-28196

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4635-1

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения krb5 до версии 1.17-3+deb10u2

Для ОС ОН «Стрелец»:

Обновление программного обеспечения krb5 до версии 1.15-1+deb9u3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-28196
CVE

EPSS

Процентиль: 59%

0.00378

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2020-28196

CVSS3: 7.5

ubuntu

больше 4 лет назад

MIT Kerberos 5 (aka krb5) before 1.17.2 and 1.18.x before 1.18.3 allows unbounded recursion via an ASN.1-encoded Kerberos message because the lib/krb5/asn.1/asn1_encode.c support for BER indefinite lengths lacks a recursion limit.

CVE-2020-28196

CVSS3: 7.5

redhat

больше 4 лет назад

CVE-2020-28196

CVSS3: 7.5

nvd

больше 4 лет назад

CVE-2020-28196

CVSS3: 7.5

msrc

больше 3 лет назад

Описание отсутствует

CVE-2020-28196

CVSS3: 7.5

debian

больше 4 лет назад

MIT Kerberos 5 (aka krb5) before 1.17.2 and 1.18.x before 1.18.3 allow ...

EPSS

Процентиль: 59%

0.00378

Низкий

7.5 High

CVSS3

7.8 High

CVSS2