BDU:2023-03627 (CVE-2022-29526)

Уязвимость функции Faccessa языка программирования Go, позволяющая нарушителю обойти существующие ограничения безопасности

Опубликовано: 2023-07-11

Описание

Уязвимость функции Faccessa языка программирования Go связана с небезопасным управлением привилегиями. Эксплуатация уязвимости может позволить нарушителю обойти существующие ограничения безопасности

Затрагиваемое ПО и версии

OpenSUSE Leap (15.5)Red Hat Enterprise Linux (8)SUSE Linux Enterprise Server for SAP Applications (15 SP1)Debian GNU/Linux (10)Ubuntu (20.04 LTS)Red Hat Quay (3)Suse Linux Enterprise Server (15 SP1-LTSS)Red Hat 3scale API Management Platform (2)OpenSUSE Leap (15.3)Openshift Service Mesh (2)Debian GNU/Linux (11)Fedora (35)OpenSUSE Leap (15.4)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP3)Suse Linux Enterprise Desktop (15 SP3)Red Hat Openshift Data Foundation (4)Suse Linux Enterprise Server (15 SP2)SUSE Linux Enterprise Server for SAP Applications (15 SP2)Red Hat Advanced Cluster Management for Kubernetes (2)Fedora (36)Red Hat OpenShift GitOpsSuse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP2)Red Hat OpenShift Container Platform (4)Suse Linux Enterprise Desktop (15 SP4)Suse Linux Enterprise Server (15 SP2-BCL)SUSE Linux Enterprise Server for SAP Applications (15 SP4)Ubuntu (22.04 LTS)Red Hat Advanced Cluster Management for Kubernetes (2.3)

Способ устранения

Компенсирующие меры:
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.

Использование рекомендаций:
Для языка программирования Go:
https://github.com/golang/go/issues/52313

Для программных продуктов NetApp Inc:
https://security.netapp.com/advisory/ntap-20220729-0001/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-29526.html

Для программных продуктов Ubuntu:
https://ubuntu.com/security/CVE-2022-29526
https://ubuntu.com/security/notices/USN-6038-1

Для программных продуктов Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-29526

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-29526

Для программных продуктов Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RAHIAFTIZMCEF3ZQVL7SJY4IBSXQWOBN/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RQXU752ALW53OJAF5MG3WMR5CCZVLWW6/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YSN5BXHCZQTGLSJC3V6JOZ46R5CTBU3B/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DXZJ5JZ6P4VSNCTDQHKZCP6PZXR35LO5/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YP4GPN53ZYTYGKZQLQV3SERVSY5UABO6/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JCRJHUCADVVE2ESDEG266KPDN2NTSYWB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2LZ6AL57Q7SESK36HSUM74NHXTUHQCIP/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EUFJFACPQWAJXKNEG6K3VSB2IH7WFLRF/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/GRPEVU3GMI776CYVQLQC3DZ5PXUSAHXL/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/VRBSD5IDGJABJYXM5U3EE7EO2BXO6XRG/

Оценка CVSS

Балл	4.9 — средняя опасность

Источники и патчи

https://www.cybersecurity-help.cz/vdb/SB2023061930 https://groups.google.com/g/golang-announce https://groups.google.com/g/golang-announce/c/Y5qrqw_lWdU https://security.gentoo.org/glsa/202208-02 https://github.com/golang/go/issues/52313 https://security.netapp.com/advisory/ntap-20220729-0001/https://www.suse.com/security/cve/CVE-2022-29526.html https://ubuntu.com/security/CVE-2022-29526

Проверьте безопасность своего сайта и почты → Полная проверка домена