BDU:2022-06196 (CVE-2022-3352)

Уязвимость функции did_set_string_option() текстового редактора Vim, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании

Опубликовано: 2022-10-12

Описание

Уязвимость функции did_set_string_option() текстового редактора Vim связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании путем открытия специально созданного файла

Затрагиваемое ПО и версии

РЕД ОС (7.3)Astra Linux Special Edition (1.7)ОС ТД АИС ФССП России (ИК6)Альт 8 СПvim (до 9.0.0614)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.6)

Способ устранения

Использование рекомендаций:
Для Vim:
https://github.com/vim/vim/commit/ef976323e770315b5fca544efb6b2faa25674d15

Для Ред ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения vim до версии 2:9.0.0626-1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2022-3352 https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-vim-cve-2022-3352/https://github.com/vim/vim/commit/ef976323e770315b5fca544efb6b2faa25674d15 https://huntr.dev/bounties/d058f182-a49b-40c7-9234-43d4c5a29f60 https://goslinux.fssp.gov.ru/2726972/https://altsp.su/obnovleniya-bezopasnosti/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Проверьте безопасность своего сайта и почты → Полная проверка домена