BDU:2024-10780

Опубликовано: 12 июл. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость механизма аутентификации средства удалённого доступа XRDP связана с недостатками ограничения попыток аутентификации, регулируемых параметром MaxLoginRetry, задаваемым в файле конфигурации /etc/xrdp/sesman.ini. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ путём проведения атаки подбора учетных данных

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

АО «НТЦ ИТ РОСА»

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

Альт 8 СП

РОСА ХРОМ

АЛЬТ СП 10

xrdp

Версия ПО

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (Альт 8 СП)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

1.8 (Astra Linux Special Edition)

до 0.10.0 (xrdp)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» Альт 8 СП -

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- запрет использования/удаление уязвимого пакета из операционной системы;

- использование модуля pam_faillock для предотвращения возможности эксплуатации уязвимости;

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к хостовой операционной системе с установленным уязвимым пакетом;

- использование систем обнаружения и предотвращения вторжений с целью выявления и реагирования на множественные попытки аутентификации.

Использование рекомендаций:

Для XRDP:

https://github.com/neutrinolabs/xrdp/commit/19c111c74c913ecc6e4ba9a738ed929a79d2ae8f

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-39917

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2585

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2584

Для ОС Astra Linux:

обновить пакет xrdp до 0.10.2-0astra9 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

обновить пакет xrdp до 0.10.2-0astra9 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Для ОС Astra Linux:

обновить пакет xrdp до 0.10.2-0astra9 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-39917
CVE

EPSS

Процентиль: 57%

0.00353

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-39917

CVSS3: 7.2

ubuntu

12 месяцев назад

xrdp is an open source RDP server. xrdp versions prior to 0.10.0 have a vulnerability that allows attackers to make an infinite number of login attempts. The number of max login attempts is supposed to be limited by a configuration parameter `MaxLoginRetry` in `/etc/xrdp/sesman.ini`. However, this mechanism was not effectively working. As a result, xrdp allows an infinite number of login attempts.

CVE-2024-39917

CVSS3: 7.2

nvd

12 месяцев назад

CVE-2024-39917

CVSS3: 7.2

debian

12 месяцев назад

xrdp is an open source RDP server. xrdp versions prior to 0.10.0 have ...

SUSE-SU-2025:0350-1

suse-cvrf

5 месяцев назад

Security update for xrdp

SUSE-SU-2025:0336-1

suse-cvrf

5 месяцев назад

Security update for xrdp

EPSS

Процентиль: 57%

0.00353

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2