BDU:2024-07005

Опубликовано: 28 июн. 2024

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость реализации сетевого протокола аутентификации Kerberos связана с вызвать чтением памяти во время обработки токена сообщения GSS. Эксплуатация уязвимости позволяет нарушителю,действующему удаленно, оказать воздействие на конфиденциальность и доступность защищаемой информации

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «НТЦ ИТ РОСА»

АО «ИВК»

MIT

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

Astra Linux Common Edition

ROSA Virtualization

АЛЬТ СП 10

Kerberos

ROSA Virtualization 3.0

Версия ПО

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

1.6 «Смоленск» (Astra Linux Common Edition)

2.1 (ROSA Virtualization)

- (АЛЬТ СП 10)

1.8 (Astra Linux Special Edition)

до 1.21.3 (Kerberos)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «ИВК» АЛЬТ СП 10 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Для Kerberos:

https://github.com/krb5/krb5/commit/55fbf435edbe2e92dd8101669b1ce7144bc96fef

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-37371

Для ОС Astra Linux:

обновить пакет krb5 до 1.20.1-2+deb12u2astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:

обновить пакет krb5 до 1.19.2-2ubuntu0.4astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

обновить пакет krb5 до 1.19.2-2ubuntu0.4astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2806

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2879

Для ОС Astra Linux:

обновить пакет krb5 до 1.15.2-2.astra10 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-37371
CVE

EPSS

Процентиль: 85%

0.02606

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

ROS-20240911-04

CVSS3: 9.1

redos

больше 1 года назад

Множественные уязвимости krb5-server

CVE-2024-37371

CVSS3: 9.1

ubuntu

больше 1 года назад

In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can cause invalid memory reads during GSS message token handling by sending message tokens with invalid length fields.

CVE-2024-37371

CVSS3: 6.5

redhat

больше 1 года назад

In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can cause invalid memory reads during GSS message token handling by sending message tokens with invalid length fields.

CVE-2024-37371

CVSS3: 9.1

nvd

больше 1 года назад

In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can cause invalid memory reads during GSS message token handling by sending message tokens with invalid length fields.

CVE-2024-37371

CVSS3: 9.1

msrc

больше 1 года назад

Описание отсутствует

EPSS

Процентиль: 85%

0.02606

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2