ГлавнаяБаза уязвимостей БДУ → BDU:2022-06918
7.1высокая

BDU:2022-06918 (CVE-2022-32206)

Уязвимость программного средства для взаимодействия с серверами CURL, связанная с выделением неограниченной памяти, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2022-11-22
Описание

Уязвимость программного средства для взаимодействия с серверами CURL связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии
Debian GNU/Linux (10)Debian GNU/Linux (11)Astra Linux Special Edition (1.7)Альт 8 СПAstra Linux Special Edition (4.7)cURL (до 7.84.0)ОСОН ОСнова Оnyx (до 2.7)ROSA Virtualization (2.1)Kaspersky Endpoint Security 10 для Linux (10.1.2.329)Kaspersky Security для Microsoft Exchange Server (9.7.364.0)
Способ устранения

Для CURL:
использование рекомендаций производителя: https://github.com/curl/curl/commit/3a09fbb7f264c67c438d01a30669ce325aa508e2

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-32206

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx (версия 2.7):
Обновление программного обеспечения curl до версии 7.87.0-2

Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2221

Для KESL-Эльбрус:

Обновление программного обеспечения до актуальной версии

Для Kaspersky Security для Microsoft Exchange Server:
При настройке пользовательского адреса источника обновлений необходимо указывать сетевую или локальную папку. При использовании в качестве источника обновлений публичных серверов "Лаборатории Касперского" уязвимости неприменимы.

Оценка CVSS
Балл7.1 — высокая опасность
Источники и патчи
https://curl.se/docs/CVE-2022-32206.htmlhttps://github.com/curl/curl/commit/3a09fbb7f264c67c438d01a30669ce325aa508e2https://hackerone.com/reports/1570651https://nvd.nist.gov/vuln/detail/CVE-2022-32206https://security-tracker.debian.org/tracker/CVE-2022-32206https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47https://altsp.su/obnovleniya-bezopasnosti/
Проверьте безопасность своего сайта и почты → Полная проверка домена