BDU:2024-02461

Опубликовано: 20 мар. 2024

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость модуля языка С для подписи и шифрования объектов JSON latchset Jose связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Fedora Project

АО «ИВК»

ООО «РусБИТех-Астра»

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Red Hat Advanced Cluster Management for Kubernetes

Fedora

АЛЬТ СП 10

latchset Jose

Astra Linux Special Edition

Версия ПО

8 (Red Hat Enterprise Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

2 (Red Hat Advanced Cluster Management for Kubernetes)

9 (Red Hat Enterprise Linux)

38 (Fedora)

39 (Fedora)

- (АЛЬТ СП 10)

40 (Fedora)

11 (latchset Jose)

12 (latchset Jose)

1.8 (Astra Linux Special Edition)

Тип ПО

Операционная система

Сетевое средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Red Hat Inc. Red Hat Enterprise Linux 9

Fedora Project Fedora 38

Fedora Project Fedora 39

АО «ИВК» АЛЬТ СП 10 -

Fedora Project Fedora 40

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- ограничить размер параметрп p2c в JWE;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;

- ограничение доступа из общедоступных сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций:

Для JSON latchset Jose:

https://github.com/latchset/jose/commit/4ee7708bf6dbfaa712749f081eec1f0d122fa001

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-50967

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2023-50967

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CIFPQUCLNWEAHYYJWCQD3AZPWYIV6YT3/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OOBFVMOAV732C7PY74AHJ62ZNKT3ISZ6/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/W7EGLOAFN2PWZ75ZRLTUDUZCIPH2VFZU/

Для ОС Astra Linux:

обновить пакет jose до 11-2+deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-50967
CVE

EPSS

Процентиль: 48%

0.00248

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2023-50967

CVSS3: 7.5

ubuntu

больше 1 года назад

latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-50967

CVSS3: 7.5

redhat

больше 1 года назад

latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-50967

CVSS3: 7.5

nvd

больше 1 года назад

latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.

CVE-2023-50967

CVSS3: 7.5

msrc

27 дней назад

Описание отсутствует

CVE-2023-50967

CVSS3: 7.5

debian

больше 1 года назад

latchset jose through version 11 allows attackers to cause a denial of ...

EPSS

Процентиль: 48%

0.00248

Низкий

7.5 High

CVSS3

7.8 High

CVSS2