Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-11083

Опубликовано: 12 мая 2024
Источник: fstec
CVSS3: 2.9
CVSS2: 2.6
EPSS Низкий

Описание

Уязвимость функции openpgp_generate_key_rsa() утилиты персонализации смарт-карт pkcs15-init набора программных инструментов и библиотек для работы со смарт-картами OpenSC связана с выходом операции за границы буфера в памяти в процессе генерации ключей. Эксплуатация уязвимости может позволить нарушителю обойти ограничения безопасности и выполнить произвольный код

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
АО «ИВК»
ООО «РусБИТех-Астра»
OpenSC Project

Наименование ПО

Red Hat Enterprise Linux
Debian GNU/Linux
РЕД ОС
АЛЬТ СП 10
Astra Linux Special Edition
Opensc

Версия ПО

7 (Red Hat Enterprise Linux)
8 (Red Hat Enterprise Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
9 (Red Hat Enterprise Linux)
- (АЛЬТ СП 10)
1.8 (Astra Linux Special Edition)
от 0.25.1 до 0.26.0 (Opensc)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
Red Hat Inc. Red Hat Enterprise Linux 9
АО «ИВК» АЛЬТ СП 10 -
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,6)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 2,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для OpenSC:
https://github.com/OpenSC/OpenSC/commit/02e847458369c08421fd2d5e9a16a5f272c2de9e
https://github.com/OpenSC/OpenSC/commit/b28a3cef416fcfb92fbb9ea7fd3c71df52c6c9fc
https://github.com/OpenSC/OpenSC/compare/092eea05df975a8680b354d90c8c0aae90ed8de1...865cb43a8c81b1a8a0a44f0d439b0d50494084a5
https://github.com/OpenSC/OpenSC/releases/tag/0.26.0
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-8443
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-8443
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС Astra Linux:
обновить пакет opensc до 0.23.0-0.3+deb12u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0411SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 13%
0.00043
Низкий

2.9 Low

CVSS3

2.6 Low

CVSS2

Связанные уязвимости

CVSS3: 2.9
ubuntu
10 месяцев назад

A heap-based buffer overflow vulnerability was found in the libopensc OpenPGP driver. A crafted USB device or smart card with malicious responses to the APDUs during the card enrollment process using the `pkcs15-init` tool may lead to out-of-bound rights, possibly resulting in arbitrary code execution.

CVSS3: 2.9
redhat
10 месяцев назад

A heap-based buffer overflow vulnerability was found in the libopensc OpenPGP driver. A crafted USB device or smart card with malicious responses to the APDUs during the card enrollment process using the `pkcs15-init` tool may lead to out-of-bound rights, possibly resulting in arbitrary code execution.

CVSS3: 2.9
nvd
10 месяцев назад

A heap-based buffer overflow vulnerability was found in the libopensc OpenPGP driver. A crafted USB device or smart card with malicious responses to the APDUs during the card enrollment process using the `pkcs15-init` tool may lead to out-of-bound rights, possibly resulting in arbitrary code execution.

CVSS3: 2.9
debian
10 месяцев назад

A heap-based buffer overflow vulnerability was found in the libopensc ...

CVSS3: 3.4
github
10 месяцев назад

A heap-based buffer overflow vulnerability was found in the libopensc OpenPGP driver. A crafted USB device or smart card with malicious responses to the APDUs during the card enrollment process using the `pkcs15-init` tool may lead to out-of-bound rights, possibly resulting in arbitrary code execution.

EPSS

Процентиль: 13%
0.00043
Низкий

2.9 Low

CVSS3

2.6 Low

CVSS2