BDU:2022-06492 (CVE-2022-28131)

Уязвимость компонента Decoder.Skip языка программирования Go, связанная с неконтролируемой рекурсией, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-10-28

Описание

Уязвимость компонента Decoder.Skip языка программирования Go связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Debian GNU/Linux (11)Fedora (35)Red Hat Enterprise Linux (9)Red Hat Advanced Cluster Management for Kubernetes (2.5)Go (до 1.17.12)Go (от 1.18.0 до 1.18.4)OpenShift Developer Tools and ServicesRed Hat Advanced Cluster Management for Kubernetes (2.6)

Способ устранения

Использование рекомендаций:
Для Go:
https://github.com/golang/go/issues/53614
https://github.com/golang/go/commit/08c46ed43d80bbb67cb904944ea3417989be4af3
https://github.com/golang/go/commit/90f040ec510dd678b7860d70ca77e5682f4c7e96
https://github.com/golang/go/commit/58facfbe7db2fbb9afed794b281a70bdb12a60ae

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-28131

Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=2107390
https://access.redhat.com/security/cve/CVE-2022-28131

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/golang/go/issues/53614 https://github.com/golang/go/commit/08c46ed43d80bbb67cb904944ea3417989be4af3 https://github.com/golang/go/commit/90f040ec510dd678b7860d70ca77e5682f4c7e96 https://github.com/golang/go/commit/58facfbe7db2fbb9afed794b281a70bdb12a60ae https://security-tracker.debian.org/tracker/CVE-2022-28131 https://bugzilla.redhat.com/show_bug.cgi?id=2107390 https://access.redhat.com/security/cve/CVE-2022-28131

Проверьте безопасность своего сайта и почты → Полная проверка домена