BDU:2026-04007

Опубликовано: 15 мая 2023

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость функции chacha_crypt_arch() модуля arch/s390/crypto/chacha-glue.c поддержки платформы S390 ядра операционной системы Linux связана с неправильным отключением или освобождением ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

Red Hat Inc.

Наименование ПО

Ubuntu

Debian GNU/Linux

Red Hat Enterprise Linux

Linux

Версия ПО

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

20.04 LTS (Ubuntu)

12 (Debian GNU/Linux)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

от 6.2 до 6.3.3 включительно (Linux)

от 5.19 до 6.1.29 включительно (Linux)

Тип ПО

Операционная система

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

Сообщество свободного программного обеспечения Linux от 6.2 до 6.3.3 включительно

Сообщество свободного программного обеспечения Linux от 5.19 до 6.1.29 включительно

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Linux:

https://git.kernel.org/stable/c/25e8d30507aa2f251152df1af7809e85b5538f4a

https://git.kernel.org/stable/c/debb7797bba0caffdbdadc3e7968bb2c414f50da

https://git.kernel.org/linus/8703dd6b238da0ec6c276e53836f8200983d3d9b

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-53702

Для программных продуктов Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-53702

Для программных продуктов Ubuntu:

https://ubuntu.com/security/CVE-2023-53702

Компенсирующие меры:

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей;

- контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-53702
CVE

EPSS

Процентиль: 6%

0.00024

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

CVE-2023-53702

ubuntu

6 месяцев назад

In the Linux kernel, the following vulnerability has been resolved: s390/crypto: use vector instructions only if available for ChaCha20 Commit 349d03ffd5f6 ("crypto: s390 - add crypto library interface for ChaCha20") added a library interface to the s390 specific ChaCha20 implementation. However no check was added to verify if the required facilities are installed before branching into the assembler code. If compiled into the kernel, this will lead to the following crash, if vector instructions are not available: data exception: 0007 ilc:3 [#1] SMP Modules linked in: CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.3.0-rc7+ #11 Hardware name: IBM 3931 A01 704 (KVM/Linux) Krnl PSW : 0704e00180000000 000000001857277a (chacha20_vx+0x32/0x818) R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:2 PM:0 RI:0 EA:3 Krnl GPRS: 0000037f0000000a ffffffffffffff60 000000008184b000 0000000019f5c8e6 0000000000000109 0000037fffb13c58 0000037fffb13c78 0000000019bb1780 0000037fffb13c58 0000000019f5c8e6 0000000081...