BDU:2023-07691 (CVE-2023-5363)

Уязвимость функций EVP_EncryptInit_ex2(), EVP_DecryptInit_ex2(), EVP_CipherInit_ex2() криптографической библиотеки OpenSSL, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2023-11-13

Описание

Уязвимость функций EVP_EncryptInit_ex2(), EVP_DecryptInit_ex2(), EVP_CipherInit_ex2() криптографической библиотеки OpenSSL связана с отсутствием необходимого этапа шифрования. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

OpenSUSE Leap (15.5)OnCommand Workflow AutomationSnapCenterOncommand InsightopenSUSE TumbleweedDebian GNU/Linux (12)РЕД ОС (7.3)OpenSUSE Leap (15.4)Active IQ Unified Manager for Microsoft WindowsActive IQ Unified Manager for VMware vSphereSuse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP4)Ubuntu (22.04 LTS)Red Hat Enterprise Linux (9)NetApp HCI Baseboard Management Controller H410CNetApp HCI Baseboard Management Controller H300SNetApp HCI Baseboard Management Controller H500SNetApp HCI Baseboard Management Controller H700SNetApp HCI Baseboard Management Controller H410SopenSUSE Leap Micro (5.3)Suse Linux Enterprise Server (15 SP5)Suse Linux Enterprise Desktop (15 SP5)Ubuntu (23.04)openSUSE Leap Micro (5.4)Ubuntu (23.10)OpenSSL (от 3.0.0 до 3.0.12)OpenSSL (от 3.1.0 до 3.1.4)Brocade Fabric Operating System FirmwareFAS/AFF Baseboard Management Controller A250FAS/AFF Baseboard Management Controller 500f

Способ устранения

Использование рекомендаций:

Для OpenSSL:
https://www.openssl.org/news/secadv/20231024.txt
https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=0df40630850fb2740e6be6890bb905d3fc623b2d
https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=5f69f5c65e483928c4b28ed16af6e5742929f1ee

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssl-cve-2023-5363/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2023-5363

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-5363

Для программных продуктов Ubuntu:
https://ubuntu.com/security/CVE-2023-5363
https://ubuntu.com/security/notices/USN-6450-1

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-5363.html

Для NetApp Inc:
https://security.netapp.com/advisory/ntap-20231027-0010/
https://security.netapp.com/advisory/ntap-20240201-0003/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://www.openwall.com/lists/oss-security/2023/10/24/1 https://www.openssl.org/news/secadv/20231024.txt https://www.openssl.org/news/vulnerabilities.html https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=0df40630850fb2740e6be6890bb905d3fc623b2d https://git.openssl.org/gitweb/?p=openssl.git;a=commitdiff;h=5f69f5c65e483928c4b28ed16af6e5742929f1ee http://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-openssl-cve-2023-5363/https://security-tracker.debian.org/tracker/CVE-2023-5363

Проверьте безопасность своего сайта и почты → Полная проверка домена