BDU:2024-11318

Опубликовано: 13 нояб. 2023

Источник: fstec

CVSS3: 5.9

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость пакета клиентской и серверной реализации протокола SSHv2 asyncssh интерпретатора языка программирования Python связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить атаки типа "человек по середине"

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Red Hat Inc.

Fedora Project

Наименование ПО

Ubuntu

Debian GNU/Linux

РЕД ОС

Red Hat Openshift Data Foundation

Fedora

Red Hat Ceph Storage

asyncssh

Версия ПО

18.04 LTS (Ubuntu)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

4 (Red Hat Openshift Data Foundation)

22.04 LTS (Ubuntu)

39 (Fedora)

6 (Red Hat Ceph Storage)

24.04 LTS (Ubuntu)

7 (Red Hat Ceph Storage)

до 2.14.1 (asyncssh)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Canonical Ltd. Ubuntu 22.04 LTS

Fedora Project Fedora 39

Canonical Ltd. Ubuntu 24.04 LTS

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для пакета AsyncSSH интерпретатора языка программирования Python:

https://github.com/ronf/asyncssh/blob/develop/docs/changes.rst

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-46445

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-46445

Для Ubuntu:

https://ubuntu.com/security/CVE-2023-46445

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ME34ROZWMDK5KLMZKTSA422XVJZ7IMTE/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-46445
CVE

EPSS

Процентиль: 63%

0.00459

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2023-46445

CVSS3: 5.9

ubuntu

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the extension info message (RFC 8308) via a man-in-the-middle attack, aka a "Rogue Extension Negotiation."

CVE-2023-46445

CVSS3: 5.9

redhat

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the extension info message (RFC 8308) via a man-in-the-middle attack, aka a "Rogue Extension Negotiation."

CVE-2023-46445

CVSS3: 5.9

nvd

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the extension info message (RFC 8308) via a man-in-the-middle attack, aka a "Rogue Extension Negotiation."

CVE-2023-46445

CVSS3: 5.9

debian

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the ext ...

GHSA-cfc2-wr2v-gxm5

CVSS3: 5.3

github

больше 1 года назад

AsyncSSH Rogue Extension Negotiation

EPSS

Процентиль: 63%

0.00459

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2