BDU:2023-05840 (CVE-2022-27191)

Уязвимость компонента golang.org/x/crypto/ssh библиотеки для языка программирования Go crypto, позволяющая нарушителю вызывать отказ в обслуживании

Опубликовано: 2023-09-19

Описание

Уязвимость компонента golang.org/x/crypto/ssh библиотеки для языка программирования Go crypto связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании SSH-серверов

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (7)Red Hat Enterprise Linux (8)Fedora (34)Fedora (35)Red Hat Advanced Cluster Management for Kubernetes (2)Fedora (36)Red Hat OpenShift Container Platform (4)Red Hat Migration Toolkit for ContainersRed Hat Openshift Container Storage (4)Red Hat Enterprise Linux (9)Red Hat Advanced Cluster Management for Kubernetes (2.5)Red Hat Advanced Cluster Management for Kubernetes (2.6)Red Hat OpenShift Container Platform (4.13)Red Hat OpenShift Container Platform (4.11)Red Hat OpenShift Container Platform (4.12)crypto (до 0.13.0)Helm-docs (1.11.0)OpenShift Serverless (1)OpenShift Serverless (1.26)OpenShift API for Data Protection (1.1)Red Hat Advanced Cluster Security (3)

Способ устранения

Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.

Использование рекомендаций:
Для crypto:
https://github.com/kedacore/keda/issues/2787
https://github.com/golang/crypto/commit/1baeb1ce4c0b006eff0f294c47cb7617598dfb3d

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-27191

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DLUJZV3HBP56ADXU6QH2V7RNYUPMVBXQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EZ3S7LB65N54HXXBCB67P4TTOHTNPP5O/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/HHGBEGJ54DZZGTXFUQNS7ZIG3E624YAF/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/J5WPM42UR6XIBQNQPNQHM32X7S4LJTRX/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/QTFOIDHQRGNI4P6LYN6ILH5G443RYYKB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RQXU752ALW53OJAF5MG3WMR5CCZVLWW6/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YHYRQB7TRMHDB3NEHW5XBRG7PPMUTPGV/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Z55VUVGO7E5PJFXIOVAY373NZRHBNCI5/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZFUNHFHQVJSADNH7EZ3B53CYDZVEEPBP/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZQNPPQWSTP2IX7SHE6TS4SP4EVMI5EZK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZY2SLWOQR4ZURQ7UBRZ7JIX6H6F5JHJR/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

Проверьте безопасность своего сайта и почты → Полная проверка домена