BDU:2024-11319

Опубликовано: 13 нояб. 2023

Источник: fstec

CVSS3: 6.8

CVSS2: 7.1

EPSS Низкий

Описание

Уязвимость пакета клиентской и серверной реализации протокола SSHv2 asyncssh интерпретатора языка программирования Python связана с обходом авторизации посредством ключа, контролируемого пользователем. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить атаки типа "человек по середине"

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Fedora Project

Red Hat Inc.

Наименование ПО

Ubuntu

Debian GNU/Linux

РЕД ОС

Fedora

Red Hat Ceph Storage

asyncssh

Версия ПО

18.04 LTS (Ubuntu)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

22.04 LTS (Ubuntu)

39 (Fedora)

6 (Red Hat Ceph Storage)

24.04 LTS (Ubuntu)

до 2.14.1 (asyncssh)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Canonical Ltd. Ubuntu 22.04 LTS

Fedora Project Fedora 39

Canonical Ltd. Ubuntu 24.04 LTS

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,8)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для пакета AsyncSSH интерпретатора языка программирования Python:

https://github.com/ronf/asyncssh/blob/develop/docs/changes.rst

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-46446

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-46446

Для Ubuntu:

https://ubuntu.com/security/CVE-2023-46446

Для Fedora.:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/ME34ROZWMDK5KLMZKTSA422XVJZ7IMTE/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-46446
CVE

EPSS

Процентиль: 60%

0.00408

Низкий

6.8 Medium

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVE-2023-46446

CVSS3: 6.8

ubuntu

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the remote end of an SSH client session via packet injection/removal and shell emulation, aka a "Rogue Session Attack."

CVE-2023-46446

CVSS3: 6.8

redhat

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the remote end of an SSH client session via packet injection/removal and shell emulation, aka a "Rogue Session Attack."

CVE-2023-46446

CVSS3: 6.8

nvd

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the remote end of an SSH client session via packet injection/removal and shell emulation, aka a "Rogue Session Attack."

CVE-2023-46446

CVSS3: 6.8

debian

больше 1 года назад

An issue in AsyncSSH before 2.14.1 allows attackers to control the rem ...

GHSA-c35q-ffpf-5qpm

CVSS3: 8.1

github

больше 1 года назад

AsyncSSH Rogue Session Attack

EPSS

Процентиль: 60%

0.00408

Низкий

6.8 Medium

CVSS3

7.1 High

CVSS2