ГлавнаяБаза уязвимостей БДУ → BDU:2021-05241
5средняя

BDU:2021-05241 (CVE-2021-22876)

Уязвимость программного средства для взаимодействия с серверами CURL, связанная с раскрытием информации, позволяющая нарушителю получить доступ к конфиденциальным данным
Опубликовано: 2021-10-29
Описание

Уязвимость программного средства для взаимодействия с серверами CURL связана с отсутствием механизма удаления учётных данных из URL. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Затрагиваемое ПО и версии
Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)ОС ОН «Стрелец» (1.0)cURL (от 7.1.1 до 7.75.0 включительно)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Альт 8 СПОСОН ОСнова Оnyx (до 2.1)ОС ОН «Стрелец» (до 16.01.2023)Kaspersky Endpoint Security 10 для Linux (10.1.2.329)Kaspersky Security для Microsoft Exchange Server (9.7.364.0)
Способ устранения

Для CURL:
использование рекомендаций производителя: https://curl.se/docs/CVE-2021-22876.html

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-22876

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОС ОН «Стрелец»:

https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie

Для ОСОН Основа:
Обновление программного обеспечения curl до версии 7.64.0-4+deb10u2

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет curl до 7.52.1-5+deb9u16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения curl до версии 7.52.1-5+deb9u16

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для KESL-Эльбрус:

Обновление программного обеспечения до актуальной версии

Для Kaspersky Security для Microsoft Exchange Server:
При настройке пользовательского адреса источника обновлений необходимо указывать сетевую или локальную папку. При использовании в качестве источника обновлений публичных серверов "Лаборатории Касперского" уязвимости неприменимы.

Оценка CVSS
Балл5 — средняя опасность
Источники и патчи
https://curl.se/docs/CVE-2021-22876.htmlhttps://github.com/curl/curl/commit/7214288898f5625a6cc196e22a74232eada7861chttps://hackerone.com/reports/1101882https://nvd.nist.gov/vuln/detail/CVE-2021-22876https://security-tracker.debian.org/tracker/CVE-2021-22876https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovleniehttps://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Проверьте безопасность своего сайта и почты → Полная проверка домена