BDU:2018-00109

Уязвимость централизованной системы контроля версиями CVS, связанная с неправильной обработкой данных при взаимодействии с удаленным репозиторием по протоколу SSH, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2018-01-24

Описание

Уязвимость централизованной системы контроля версиями CVS связана с неправильной обработкой данных при взаимодействии с удаленным репозиторием по протоколу SSH. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально сформированного имени хоста в URL-адресе репозитория

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.5 «Смоленск»)Ubuntu (17.04)Ubuntu (14.04)CVS (1.12.1)CVS (1.12.3)CVS (1.12.5)CVS (1.12.6)CVS (1.12.7)CVS (1.12.9)CVS (1.12.10)CVS (1.12.11)CVS (1.12.12)CVS (1.12.13)Ubuntu (16.04)

Способ устранения

Для CVS использование рекомендаций:
http://lists.nongnu.org/archive/html/bug-cvs/2017-08/msg00000.html

Для Ubuntu использование рекомендаций: http://www.ubuntu.com/usn/USN-3399-0

Для Debian GNU/Linux использование рекомендаций:
http://www.debian.org/security/2017/dsa-3940

Для Astra Linux:
обновление программного обеспечения до 2:1.12.13+real-9+deb7u1 или более поздней версии

Оценка CVSS

Балл	5.1 — высокая опасность

Источники и патчи

http://lists.nongnu.org/archive/html/bug-cvs/2017-08/msg00000.html http://www.debian.org/security/2017/dsa-3940 http://www.openwall.com/lists/oss-security/2017/08/11/1 http://www.openwall.com/lists/oss-security/2017/08/11/4 http://www.securityfocus.com/bid/100279 http://www.ubuntu.com/usn/USN-3399-1 https://bugzilla.redhat.com/show_bug.cgi?id=1480800

Проверьте безопасность своего сайта и почты → Полная проверка домена