BDU:2022-05892 (CVE-2022-1664)

Уязвимость компонента Dpkg::Source::Archive менеджера пакетов Dpkg, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2022-09-23

Описание

Уязвимость компонента Dpkg::Source::Archive менеджера пакетов Dpkg связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Debian GNU/Linux (11)Dpkg (от 1.14.17 до 1.18.26)Dpkg (от 1.19.0 до 1.19.8)Dpkg (от 1.20.0 до 1.20.10)Dpkg (от 1.21.0 до 1.21.8)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.7)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для Dpkg:
использование рекомендаций производителя: https://git.dpkg.org/cgit/dpkg/dpkg.git/commit/?id=faa4c92debe45412bfcf8a44f26e827800bb24be

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-1664

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН ОСнова Оnyx (версия 2.7):
Обновление программного обеспечения dpkg до версии 1.19.8osnova18

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет dpkg до 1.18.26.astra.se2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения dpkg до версии 1.18.26osnova16

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://git.dpkg.org/cgit/dpkg/dpkg.git/commit/?id=1f23dddc17f69c9598477098c7fb9936e15fa495 https://git.dpkg.org/cgit/dpkg/dpkg.git/commit/?id=58814cacee39c4ce9e2cd0e3a3b9b57ad437eff5 https://git.dpkg.org/cgit/dpkg/dpkg.git/commit/?id=7a6c03cb34d4a09f35df2f10779cbf1b70a5200b https://git.dpkg.org/cgit/dpkg/dpkg.git/commit/?id=faa4c92debe45412bfcf8a44f26e827800bb24be https://lists.debian.org/debian-lts-announce/2022/05/msg00033.html https://lists.debian.org/debian-security-announce/2022/msg00115.html https://nvd.nist.gov/vuln/detail/CVE-2022-1664 https://security-tracker.debian.org/tracker/CVE-2022-1664

Проверьте безопасность своего сайта и почты → Полная проверка домена