BDU:2021-03745 (CVE-2021-26910)

Уязвимость компонента OverlayFS SUID песочницы Firejail, связанная с недостаточной проверкой состояния совместно используемого ресурса, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2021-07-20

Описание

Уязвимость компонента OverlayFS SUID песочницы Firejail связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Firejail (до 0.9.64.4)ОСОН ОСнова Оnyx (до 2.1)РОСА ХРОМ (12.4)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для Firejail:
Использование рекомендаций производителя: https://github.com/netblue30/firejail/commit/97d8a03cad19501f017587cc4e47d8418273834b

Для Debian:
Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-26910

Для Astra Linux:
Использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОСОН Основа:
Обновление программного обеспечения firejail до версии 0.9.58.2-2+deb10u2

Для ОС ОН «Стрелец»:
Обновление программного обеспечения firejail до версии 0.9.58.2-2+deb9u1

Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2289

Оценка CVSS

Балл	6.9 — высокая опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2021/02/09/1 https://github.com/netblue30/firejail/commit/97d8a03cad19501f017587cc4e47d8418273834b https://github.com/netblue30/firejail/releases/tag/0.9.64.4 https://nvd.nist.gov/vuln/detail/CVE-2021-26910 https://security-tracker.debian.org/tracker/CVE-2021-26910 https://unparalleled.eu/blog/2021/20210208-rigged-race-against-firejail-for-local-root/https://unparalleled.eu/publications/2021/advisory-unpar-2021-0.txt https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16

Проверьте безопасность своего сайта и почты → Полная проверка домена