BDU:2024-01020 (CVE-2024-24557)

Уязвимость функции ImageBuild() программного средства для создания систем контейнерной изоляции Moby, позволяющая нарушителю реализовать атаку отравления кэша

Опубликовано: 2024-02-06

Описание

Уязвимость функции ImageBuild() программного средства для создания систем контейнерной изоляции Moby связана с недостатком в механизме подтверждения источника данных при обработке конечных точек. Эксплуатация уязвимости может позволить нарушителю реализовать атаку отравления кэша

Затрагиваемое ПО и версии

РЕД ОС (7.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Moby (до 24.0.9)Moby (от 25.0.0 до 25.0.2)ОСОН ОСнова Оnyx (до 3.1)

Способ устранения

Использование рекомендаций:
Для Moby:
https://github.com/moby/moby/commit/3e230cfdcc989dc524882f6579f9e0dac77400ae

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения docker.io до версии 26.1.5+dfsg1-9

Оценка CVSS

Балл	5.2 — средняя опасность

Источники и патчи

https://github.com/moby/moby/commit/3e230cfdcc989dc524882f6579f9e0dac77400ae https://github.com/moby/moby/security/advisories/GHSA-xw73-rw38-6vjc https://access.redhat.com/security/cve/CVE-2024-24557 https://bugzilla.redhat.com/show_bug.cgi?id=2262352 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/3.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена