BDU:2019-01949 (CVE-2019-9499)

Уязвимость компонента wpa_supplicant протокола EAP-PWD сертификации устройств беспроводной связи WPA, связанная с некорректным использованием привилегий, позволяющая нарушителю оказать воздействие на целостность и конфиденциальность данных или вызвать отказ в обслуживании

Опубликовано: 2019-06-06

Описание

Уязвимость компонента wpa_supplicant протокола EAP-PWD сертификации устройств беспроводной связи WPA связана с некорректной проверкой скалярных значений и значений элементов в «EAP-pwd-Commit» импортированных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность и конфиденциальность данных или вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)WPA Supplicant (до 2.4 включительно)Red Hat Enterprise Linux (5)Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)Poppler (0.72.0)hostapd (до 2.4 включительно)WPA Supplicant (от 2.5 до 2.7 включительно)hostapd (от 2.5 до 2.7 включительно)Red Hat Enterprise Linux (8)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Oracle Linux (7 (evince))Oracle Linux (7 (ocular))Oracle Linux (7 (poppler))Oracle Linux (8 (poppler))

Способ устранения

Использование рекомендаций:
Для Ubuntu:
https://usn.ubuntu.com/3944-1/

Для SUSE:
http://lists.opensuse.org/opensuse-security-announce/2020-02/msg00021.html

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2019-9499

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TDOZGR3T7FVO5JSZWK2QPR7AOFIEJTIZ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SVMJOFEYBGXZLFF5IOLW67SSOPKFEJP3/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/56OBBOJJSKRTDGEXZOVFSTP4HDSDBLAE/

Для FreeBSD:
https://seclists.org/bugtraq/2019/May/40

Для wpa:
https://packetstormsecurity.com/files/152914/FreeBSD-Security-Advisory-FreeBSD-SA-19-03.wpa.html

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет wpa до 2:2.4-1+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://usn.ubuntu.com/3944-1/http://lists.opensuse.org/opensuse-security-announce/2020-02/msg00021.html https://security-tracker.debian.org/tracker/CVE-2019-9499 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TDOZGR3T7FVO5JSZWK2QPR7AOFIEJTIZ/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SVMJOFEYBGXZLFF5IOLW67SSOPKFEJP3/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/56OBBOJJSKRTDGEXZOVFSTP4HDSDBLAE/https://seclists.org/bugtraq/2019/May/40 https://packetstormsecurity.com/files/152914/FreeBSD-Security-Advisory-FreeBSD-SA-19-03.wpa.html

Проверьте безопасность своего сайта и почты → Полная проверка домена