BDU:2024-06604

Опубликовано: 02 июл. 2024

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость программного обеспечения OpenVPN связана с отсутствием неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

OpenVPN, Inc.

АО «НППКТ»

Наименование ПО

Ubuntu

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

OpenVPN

ОСОН ОСнова Оnyx

Версия ПО

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

22.04 LTS (Ubuntu)

24.04 LTS (Ubuntu)

от 2.6.0 до 2.6.11 (OpenVPN)

1.8 (Astra Linux Special Edition)

24.10 (Ubuntu)

до 2.5.11 (OpenVPN)

до 3.1 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Canonical Ltd. Ubuntu 22.04 LTS

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Canonical Ltd. Ubuntu 24.10

АО «НППКТ» ОСОН ОСнова Оnyx до 3.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для OpenVPN:

https://github.com/OpenVPN/openvpn/commit/90e7a858e5594d9a019ad2b4ac6154124986291a

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-5594

Для Ubuntu:

https://ubuntu.com/security/CVE-2024-5594

Для ОС Astra Linux:

обновить пакет openvpn до 2.6.3-1+deb12u2+ci2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Для ОС Astra Linux:

обновить пакет openvpn до 2.4.7-1+deb10u1+ci3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Для ОС Astra Linux:

обновить пакет openvpn до 2.4.7-1+deb10u1+ci3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения openvpn до версии 2.6.3-1+deb12u4

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-5594
CVE

EPSS

Процентиль: 57%

0.00817

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

ROS-20240828-04

CVSS3: 7.3

redos

около 2 лет назад

Уязвимость openvpn

ALT-PU-2024-10885

CVSS3: 9.8

altlinux

около 2 лет назад

ALT-PU-2024-10885: package `openvpn` update to version 2.6.12-alt1

CVE-2024-5594

CVSS3: 9.1

ubuntu

почти 2 года назад

OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly which an attacker controlling the server can use to inject unexpected arbitrary data ending up in client logs.

CVE-2024-5594

CVSS3: 9.1

nvd

почти 2 года назад

OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly which an attacker controlling the server can use to inject unexpected arbitrary data ending up in client logs.

CVE-2024-5594

CVSS3: 9.1

debian

почти 2 года назад

OpenVPN before 2.6.11 does not santize PUSH_REPLY messages properly wh ...

EPSS

Процентиль: 57%

0.00817

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2