BDU:2024-07334 (CVE-2022-4292)

Уязвимость функции did_set_spelllang (spell.c) текстового редактора Vim, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2024-09-23

Описание

Уязвимость функции did_set_spelllang (spell.c) текстового редактора Vim связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Debian GNU/Linux (12)Astra Linux Special Edition (1.7)ОСОН ОСнова Оnyx (до 2.7)vim (до 9.0.0882)

Способ устранения

Для Vim:
использование рекомендаций производителя: https://github.com/vim/vim/commit/c3d27ada14acd02db357f2d16347acc22cb17e93
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-4292
Для ОС Astra Linux:
обновить пакет vim до 2:9.0.1000-4.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения vim до версии 2:9.0.1000-4

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://github.com/vim/vim/commit/c3d27ada14acd02db357f2d16347acc22cb17e93 https://huntr.dev/bounties/da3d4c47-e57a-451e-993d-9df0ed31f57b https://nvd.nist.gov/vuln/detail/CVE-2022-4292 https://security.netapp.com/advisory/ntap-20230113-0005/https://security-tracker.debian.org/tracker/CVE-2022-4292 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.7/

Проверьте безопасность своего сайта и почты → Полная проверка домена