BDU:2023-05819

Опубликовано: 17 июл. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость интерфейса утилиты командной строки cURL связана с выделением неограниченной памяти при обработке HTTP-заголовков. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «Ред Софт»

АО «ИВК»

Fedora Project

Canonical Ltd.

Daniel Stenberg

АО «НППКТ»

Project Harbor

ООО «Открытая мобильная платформа»

АО «Лаборатория Касперского»

Наименование ПО

РЕД ОС

Альт 8 СП

Fedora

Ubuntu

cURL

АЛЬТ СП 10

ОСОН ОСнова Оnyx

harbor

ОС Аврора

Kaspersky Endpoint Security

Версия ПО

7.3 (РЕД ОС)

- (Альт 8 СП)

38 (Fedora)

23.04 (Ubuntu)

от 7.84.0 до 8.2.1 включительно (cURL)

- (АЛЬТ СП 10)

до 2.9 (ОСОН ОСнова Оnyx)

2.7.0 (harbor)

до 5.1.1 включительно (ОС Аврора)

12.1.0.506 (Kaspersky Endpoint Security)

12.3.0.493 (Kaspersky Endpoint Security)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Программное средство защиты

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

Fedora Project Fedora 38

Canonical Ltd. Ubuntu 23.04

АО «ИВК» АЛЬТ СП 10 -

АО «НППКТ» ОСОН ОСнова Оnyx до 2.9

ООО «Открытая мобильная платформа» ОС Аврора до 5.1.1 включительно

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,8)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для cURLl:

https://github.com/curl/curl/commit/3ee79c1674fd6f9

https://github.com/curl/curl/pull/11582

https://curl.se/docs/CVE-2023-38039.html

https://curl.se/download.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TEAWTYHC3RT6ZRS5OZRHLAIENVN6CCIS/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6363-1

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения curl до версии 7.88.1-10+deb12u4osnova1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Kaspersky:

Обновление программного обеспечения

Компенсирующие меры для Harbor :

- отключение/удаление неиспользуемых учетных записей пользователей;

- минимизация пользовательских привилегий;

- использование антивирусных средств защиты;

- контроль действий пользователей.

Для ОС Аврора:

https://cve.omp.ru/bb25402

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-38039
CVE

EPSS

Процентиль: 99%

0.56211

Средний

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20250804-21

CVSS3: 8.8

redos

больше 1 года назад

Уязвимость curl

ROS-20250804-01

CVSS3: 8.8

redos

больше 1 года назад

Уязвимость libcurl

ALT-PU-2023-5709

CVSS3: 8.8

altlinux

около 3 лет назад

ALT-PU-2023-5709: package `curl` update to version 8.3.0-alt1

ALT-PU-2023-5711

CVSS3: 8.8

altlinux

около 3 лет назад

ALT-PU-2023-5711: package `curl` update to version 8.3.0-alt1

CVE-2023-38039

CVSS3: 7.5

ubuntu

около 3 лет назад

When curl retrieves an HTTP response, it stores the incoming headers so that they can be accessed later via the libcurl headers API. However, curl did not have a limit in how many or how large headers it would accept in a response, allowing a malicious server to stream an endless series of headers and eventually cause curl to run out of heap memory.

EPSS

Процентиль: 99%

0.56211

Средний

8.8 High

CVSS3

10 Critical

CVSS2