BDU:2023-05649

Опубликовано: 29 авг. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость программного средства реализации сетевой маршрутизации на Unix-подобных системах FRRouting, сетевой операционной системы Picos, операционной системы PAN-OS связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путём отправки специально сформированных BGP-данных обновления

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Palo Alto Networks Inc.

Pica8

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Red Hat OpenStack Platform

FRRouting

PAN-OS

PICOS

Версия ПО

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

9 (Red Hat Enterprise Linux)

17.0 (Red Hat OpenStack Platform)

от 7.5.1 до 9.0 (FRRouting)

от 11.0 до 11.0.3 (PAN-OS)

от 10.2 до 10.2.6 (PAN-OS)

от 10.1 до 10.1.11 (PAN-OS)

от 9.1 до 9.1.16-HF (PAN-OS)

4.3.3.2 (PICOS)

17.1 (Red Hat OpenStack Platform)

Тип ПО

Операционная система

ПО программно-аппаратного средства

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Red Hat Inc. Red Hat Enterprise Linux 9

Palo Alto Networks Inc. PAN-OS от 11.0 до 11.0.3

Palo Alto Networks Inc. PAN-OS от 10.2 до 10.2.6

Palo Alto Networks Inc. PAN-OS от 10.1 до 10.1.11

Palo Alto Networks Inc. PAN-OS от 9.1 до 9.1.16-HF

Pica8 PICOS 4.3.3.2

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- отключение BGP-интерфейсов;

- использование средств межсетевого экранирования для ограничения возможности удаленного доступа;

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:

Для FRRouting:

https://github.com/FRRouting/frr/pull/14290

https://github.com/FRRouting/frr/issues/14289

Для PAN-OS:

https://security.paloaltonetworks.com/CVE-2023-38802

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-38802

https://www.debian.org/security/2023/dsa-5495

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-38802

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-38802
CVE

EPSS

Процентиль: 70%

0.00649

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240403-09

CVSS3: 7.5

redos

около 1 года назад

Множественные уязвимости frr

CVE-2023-38802

CVSS3: 7.5

ubuntu

почти 2 года назад

FRRouting FRR 7.5.1 through 9.0 and Pica8 PICOS 4.3.3.2 allow a remote attacker to cause a denial of service via a crafted BGP update with a corrupted attribute 23 (Tunnel Encapsulation).

CVE-2023-38802

CVSS3: 7.5

redhat

почти 2 года назад

FRRouting FRR 7.5.1 through 9.0 and Pica8 PICOS 4.3.3.2 allow a remote attacker to cause a denial of service via a crafted BGP update with a corrupted attribute 23 (Tunnel Encapsulation).

CVE-2023-38802

CVSS3: 7.5

nvd

почти 2 года назад

FRRouting FRR 7.5.1 through 9.0 and Pica8 PICOS 4.3.3.2 allow a remote attacker to cause a denial of service via a crafted BGP update with a corrupted attribute 23 (Tunnel Encapsulation).

CVE-2023-38802

CVSS3: 7.5

msrc

почти 2 года назад

Описание отсутствует

EPSS

Процентиль: 70%

0.00649

Низкий

7.5 High

CVSS3

7.8 High

CVSS2