BDU:2022-00716

Уязвимость функции проверки электронной подписи менеджера RPM-пакетов RPM (RPM Package Manager), позволяющая нарушителю нарушить конфиденциальность, целостность и доступность данных

Опубликовано: 2022-02-10

Описание

Уязвимость функции check программного обеспечения rpm rpm связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости может позволить нарушителю нарушить конфиденциальность, целостность и доступность данных

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (7)Debian GNU/Linux (9)Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Fedora (32)OpenSUSE Leap (15.2)Fedora (33)Red Hat Enterprise Linux (8.2 Extended Update Support)Fedora (34)OpenSUSE Leap (15.3)Red Hat Enterprise Linux (7.6 Telco Extended Update Support)Red Hat Enterprise Linux (7.6 Advanced Update Support)Red Hat Enterprise Linux (7.6 Update Services for SAP Solutions)Red Hat Enterprise Linux (7.7 Advanced Update Support)Red Hat Enterprise Linux (7.7 Telco Extended Update Support)Debian GNU/Linux (11)Astra Linux Special Edition (1.7)RPM (от 4.15.0 до 4.15.1.3)RPM (4.15.0 alpha)RPM (4.15.0 beta1)RPM (4.15.0 rc1)RPM (от 4.16.0 до 4.16.1.3)RPM (4.16.0 alpha)RPM (4.16.0 beta2)RPM (4.16.0 beta3)RPM (4.16.0 rc1)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.5)

Способ устранения

Использование рекомендаций:
https://github.com/rpm-software-management/rpm/commit/d6a86b5e69e46cc283b1e06c92343319beb42e21
https://bugzilla.redhat.com/show_bug.cgi?id=1934125
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-20271
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2021-20271.xml
Для Fedora:
https://lists.fedoraproject.org/archives/search?mlist=package-announce%40lists.fedoraproject.org&q=CVE-2021-20271
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-20271

Для ОСОН Основа:
Обновление программного обеспечения rpm до версии 4.16.1.2+dfsg1-3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Оценка CVSS

Балл	5.1 — высокая опасность

Источники и патчи

https://github.com/rpm-software-management/rpm/commit/d6a86b5e69e46cc283b1e06c92343319beb42e21 https://bugzilla.redhat.com/show_bug.cgi?id=1934125 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VHRPNBCRPDJHHQE3MBPSZK4H7X2IM7AC/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TMGXO3W6DHPO62GJ4VVF5DEUX5DRUR5K/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YILPBTPSBRYL4POBI3F4YUSVPSOQNJBY/https://security.gentoo.org/glsa/202107-43 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Проверьте безопасность своего сайта и почты → Полная проверка домена