BDU:2023-08562

Опубликовано: 01 авг. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 8.3

EPSS Средний

Описание

Уязвимость интерфейса HID Profile (Human Interface Device) стека протоколов Bluetooth для ОС Linux BlueZ связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии и выполнить произвольные команды

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

Google Inc.

ООО «Ред Софт»

ООО «РусБИТех-Астра»

Fedora Project

Apple Inc.

ООО «Открытая мобильная платформа»

Наименование ПО

Debian GNU/Linux

Ubuntu

Android

РЕД ОС

Astra Linux Special Edition

Fedora

BlueZ

Mac OS

iOS

ОС Аврора

Версия ПО

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

12 (Android)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

22.04 LTS (Ubuntu)

12L (Android)

4.7 (Astra Linux Special Edition)

38 (Fedora)

13 (Android)

39 (Fedora)

18.04 ESM (Ubuntu)

23.04 (Ubuntu)

11 (Android)

23.10 (Ubuntu)

14 (Android)

до 5.53 (BlueZ)

от 4.2.2 до 10 включительно (Android)

13.3.3 (Mac OS)

12.6.7 (Mac OS)

16.6 (iOS)

до 5.1.1 включительно (ОС Аврора)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Google Inc. Android 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Canonical Ltd. Ubuntu 22.04 LTS

Google Inc. Android 12L

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 38

Google Inc. Android 13

Fedora Project Fedora 39

Canonical Ltd. Ubuntu 18.04 ESM

Canonical Ltd. Ubuntu 23.04

Google Inc. Android 11

Canonical Ltd. Ubuntu 23.10

Google Inc. Android 14

Google Inc. Android от 4.2.2 до 10 включительно

Apple Inc. Mac OS 13.3.3

Apple Inc. Mac OS 12.6.7

Apple Inc. iOS 16.6

ООО «Открытая мобильная платформа» ОС Аврора до 5.1.1 включительно

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для BlueZ:

https://git.kernel.org/pub/scm/bluetooth/bluez.git/commit/profiles/input?id=25a471a83e02e1effb15d5a488b3f0085eaeb675

Для Android:

https://source.android.com/docs/security/bulletin/2023-12-01?hlru&hl=ru

https://android.googlesource.com/platform/packages/modules/Bluetooth/+/25a7d9aaceea0f7d6cb4ae3da5aa66efb0bc7db8

https://android.googlesource.com/platform/packages/modules/Bluetooth/+/f4e439c22354f0aa868a982bc88bcc9de3bc37f7

https://android.googlesource.com/platform/packages/modules/Bluetooth/+/a99edb35d6c044dbd607a74b88102bf2f36d5ef5

https://android.googlesource.com/platform/packages/modules/Bluetooth/+/9194524a92e0f5859caeab1ff487d21d9b513d0b

https://android.googlesource.com/platform/packages/modules/Bluetooth/+/5673b3c6bbe8c6c9edb8afb5e9499dc3a41d3943

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6540-1

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-45866

Для Fedora:

https://bodhi.fedoraproject.org/updates/FEDORA-2023-6a3fe615d3

https://bodhi.fedoraproject.org/updates/FEDORA-2023-26a02512e1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет bluez до 5.54-1~bpo10+1+ci202405281355+astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для ОС Аврора:

https://cve.omp.ru/bb25402

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-45866
CVE

EPSS

Процентиль: 96%

0.28273

Средний

8.8 High

CVSS3

8.3 High

CVSS2

Связанные уязвимости

ROS-20240408-06

CVSS3: 8.8

redos

около 1 года назад

Уязвимость bluez

CVE-2023-45866

CVSS3: 6.3

ubuntu

больше 1 года назад

Bluetooth HID Hosts in BlueZ may permit an unauthenticated Peripheral role HID Device to initiate and establish an encrypted connection, and accept HID keyboard reports, potentially permitting injection of HID messages when no user interaction has occurred in the Central role to authorize such access. An example affected package is bluez 5.64-0ubuntu1 in Ubuntu 22.04LTS. NOTE: in some cases, a CVE-2020-0556 mitigation would have already addressed this Bluetooth HID Hosts issue.

CVE-2023-45866

CVSS3: 6.3

redhat

больше 1 года назад

CVE-2023-45866

CVSS3: 6.3

nvd

больше 1 года назад

CVE-2023-45866

CVSS3: 6.3

msrc

8 месяцев назад

Описание отсутствует

EPSS

Процентиль: 96%

0.28273

Средний

8.8 High

CVSS3

8.3 High

CVSS2