BDU:2023-06162

Опубликовано: 25 сент. 2023

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость функции vringh_kiov_advance() в модуле drivers/vhost/vringh.c драйвера vhost ядра операционной системы Linux связана с отсутствием контроля условия выхода из цикла в Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

АО "НППКТ"

Наименование ПО

Astra Linux Special Edition

Debian GNU/Linux

Linux

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

от 5.16 до 6.1.56 включительно (Linux)

от 6.2 до 6.5.6 включительно (Linux)

от 5.13 до 5.15.134 включительно (Linux)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Сообщество свободного программного обеспечения Linux от 5.16 до 6.1.56 включительно

Сообщество свободного программного обеспечения Linux от 6.2 до 6.5.6 включительно

Сообщество свободного программного обеспечения Linux от 5.13 до 5.15.134 включительно

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- ограничить использование драйвера vhost.

Использование рекомендаций:

Для Linux:

https://lore.kernel.org/virtualization/20230925103057.104541-1-sgarzare@redhat.com/T/#u

https://bugzilla.redhat.com/show_bug.cgi?id=2240561

https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.15.135

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.1.57

https://kernel.org/pub/linux/kernel/v6.x/ChangeLog-6.5.7

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-5158

Для Astra Linux 1.6 «Смоленск»:

обновить пакет linux-5.15 до 5.15.0-83.astra1+ci36 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения linux до версии 5.15.140-1.oasnova221

Для ОС Astra Linux:

- обновить пакет linux-5.15 до 5.15.0-83.astra1+ci50 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

- обновить пакет linux-6.1 до 6.1.50-1.astra4+ci68 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

- обновить пакет linux-5.15 до 5.15.0-111.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

- обновить пакет linux-6.1 до 6.1.90-1.astra3+ci156 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-5158
CVE

EPSS

Процентиль: 2%

0.00013

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2023-5158

CVSS3: 6.5

ubuntu

больше 2 лет назад

A flaw was found in vringh_kiov_advance in drivers/vhost/vringh.c in the host side of a virtio ring in the Linux Kernel. This issue may result in a denial of service from guest to host via zero length descriptor.

CVE-2023-5158

CVSS3: 6.5

redhat

больше 2 лет назад

CVE-2023-5158

CVSS3: 6.5

nvd

больше 2 лет назад

CVE-2023-5158

CVSS3: 6.5

debian

больше 2 лет назад

A flaw was found in vringh_kiov_advance in drivers/vhost/vringh.c in t ...

GHSA-xccf-m24h-v4r5

CVSS3: 6.5

github

больше 2 лет назад

EPSS

Процентиль: 2%

0.00013

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2