ГлавнаяБаза уязвимостей БДУ → BDU:2022-06851
10критическая

BDU:2022-06851 (CVE-2022-24883)

Уязвимость RDP-сервера FreeRDP, связанная с недостатками процедуры аутентификации, позволяющая нарушителю обойти процесс аутентификации
Опубликовано: 2022-11-21
Описание

Уязвимость RDP-сервера FreeRDP связана с недостатками процедуры аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти процесс аутентификации

Затрагиваемое ПО и версии
Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Server for SAP Applications (12 SP5)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Ubuntu (20.04 LTS)Suse Linux Enterprise Desktop (12 SP5)Fedora (34)OpenSUSE Leap (15.3)Debian GNU/Linux (11)Fedora (35)Ubuntu (21.10)РЕД ОС (7.3)Astra Linux Special Edition (1.7)OpenSUSE Leap (15.4)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP3)Suse Linux Enterprise Desktop (15 SP3)Альт 8 СПFedora (36)Suse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP4)SUSE Linux Enterprise Server for SAP Applications (15 SP4)Ubuntu (22.04 LTS)FreeRDP (до 2.7.0)Astra Linux Special Edition (4.7)UBLinux (до 2204)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Организационные меры:
- использовать пользовательскую аутентификацию с помощью "HashCallback";
- убедиться, что настроенный путь к базе данных "SAM" действителен, а в приложении остались дескрипторы файлов.

Использование рекомендаций:
Для FreeRDP:
использование рекомендаций производителя:
https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-qxm3-v2r6-vmwf
https://github.com/FreeRDP/FreeRDP/releases/tag/2.7.0

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-24883
https://ubuntu.com/security/notices/USN-5461-1

Для UBLinux:
https://security.ublinux.ru/CVE-2022-24883

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-24883

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AELSWWBAM2YONRPGLWVDY6UNTLJERJYL/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DOYKBQOHSRM7JQYUIYUWFOXI2JZ2J5RD/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PZWR6KSIKXO4B2TXBB3WH6YTNYHN46OY/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-24883.html

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для Astra Linux 1.6 «Смоленск»:
обновить пакет freerdp2 до 2.10.0+dfsg1-1astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:
обновить пакет freerdp2 до 2.11.7-0astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://security.ublinux.ru/CVE-2022-24883https://www.cybersecurity-help.cz/vdb/SB2022042601https://github.com/FreeRDP/FreeRDP/commit/4661492e5a617199457c8074bad22f766a116cdchttps://github.com/FreeRDP/FreeRDP/commit/6f473b273a4b6f0cb6aca32b95e22fd0de88e144https://github.com/FreeRDP/FreeRDP/security/advisories/GHSA-qxm3-v2r6-vmwfhttps://github.com/FreeRDP/FreeRDP/releases/tag/2.7.0https://ubuntu.com/security/CVE-2022-24883https://ubuntu.com/security/notices/USN-5461-1
Проверьте безопасность своего сайта и почты → Полная проверка домена