BDU:2021-01649: Уязвимость реализации функции show_transport_handle() ядра операционных систем Linux, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Детали уязвимости BDU:2021-01649
Описание
Уязвимость реализации функции show_transport_handle() ядра операционных систем Linux связана с ненадлежащей обработкой указателей. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации
Что делать с BDU:2021-01649
Низкая уязвимость (CVSS 4.4) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.
⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:LAV:L/AC:L/Au:N/C:P/I:N/A:PCVE — международный идентификатор
CWE-200 — раскрытие информации: выдача конфиденциальных данных. Ошибка возникает в приложениях, где в сообщениях об ошибках, ответах API и журналах оказываются стек вызовов, пути к файлам, учётные данные и ключи. Злоумышленник узнаёт внутреннее устройство системы и с этими сведениями подбирает пароль или ключ и расширяет доступ к закрытым данным.
Как атакуют и что делать ▾
Сценарий атаки
Сервер возвращает стек вызовов, пути к файлам, версии ПО, SQL-запросы в сообщениях об ошибках.
Последствия
Утечка внутренней архитектуры, помогает атакующему планировать дальнейшие шаги.
Рекомендации
Отключите подробные ошибки в production, используйте generic error pages, логируйте на сервере.
Тактики и техники
Уязвимое ПО (27)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.5 «Смоленск» | 64-bit |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 9 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.6 «Смоленск» | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.6 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.2 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.3 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Telco Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8.1 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.7 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8.2 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Update Services for SAP Solutions | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 12 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| АО «НППКТ» | ОСОН ОСнова Оnyx | до 2.4 | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 5.11.0 до 5.11.3 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.0 до 4.4.259 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.5 до 4.9.259 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.10 до 4.14.223 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.15 до 4.19.178 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.20 до 5.4.102 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 5.5 до 5.10.20 включительно | Не указана |
| Red Hat, Inc. | Red Hat Virtualization | 4.2 for RHEL 7.6 EUS | Не указана |
Среды функционирования (27)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.5 «Смоленск» | 64-bit |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 9 | Не указана |
| ООО «РусБИТех-Астра» | Astra Linux Special Edition | 1.6 «Смоленск» | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.6 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.2 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.3 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Telco Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Advanced Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8.1 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.7 Extended Update Support | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 8.2 Extended Update Support | Не указана |
| Сообщество свободного программного обеспечения | Linux | до 5.11.3 включительно | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 7.4 Update Services for SAP Solutions | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 12 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| АО «НППКТ» | ОСОН ОСнова Оnyx | до 2.4 | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 5.11.0 до 5.11.3 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.0 до 4.4.259 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.5 до 4.9.259 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.10 до 4.14.223 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.15 до 4.19.178 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 4.20 до 5.4.102 включительно | Не указана |
| Сообщество свободного программного обеспечения | Linux | от 5.5 до 5.10.20 включительно | Не указана |
Рекомендации по устранению
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для Linux:: https://git.kernel.org/linus/688e8128b7a92df982709a4137ea4588d16f24aa https://git.kernel.org/pub/scm/linux/kernel/git/torvalds/linux.git/commit/?id=688e8128b7a92df982709a4137ea4588d16f24aa https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.224 https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.179 https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.260 https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.260 https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.10.21 https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.11.4 https://kernel.org/pub/linux/kernel/v5.x/ChangeLog-5.4.103 Для программных продуктов Red Hat.: https://access.redhat.com/security/cve/cve-2021-27363 Для ОСОН Основа: Обновление программного обеспечения linux до версии 5.14.9-2.osnova179.1 Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2021-27363 Для Astra Linux: Использование методических указаний по нейтрализации угроз эксплуатации уязвимостей — БЮЛЛЕТЕНЬ № 20210317SE16MD (https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210317SE16MD) Использование методических указаний по нейтрализации угроз эксплуатации уязвимостей — БЮЛЛЕТЕНЬ № 20210317SE15MD (https://wiki.astralinux.ru/astra-linux-se15-bulletin-20210317SE15MD) Использование методических указаний по нейтрализации угроз эксплуатации уязвимостей — БЮЛЛЕТЕНЬ https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16) Для ОС Astra Linux 1.6 «Смоленск»: обновить пакет linux до 4.15.3-141.astra26+ci19 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16
SLA ФСТЭК №117
По регламенту
по базовой оценке CVSS 4.4
Уточните SLA под вашу среду
Базовый балл 4.4 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать
Низкий текущий риск. Устраните при плановом обновлении.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2021-03-04
Опубликована
2021-03-30
Обновлена
2025-05-05
Эксплойт
Существует
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Сертификация ФСТЭК
Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).
Карточка сертификата в реестре СЗИСертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость ядра операционной системы Linux, связанная с неполной очисткой временных или вспомогательных ресурсов, позвол
Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая
Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая
Уязвимость ядра операционной системы Linux, связанная с неправильной синхронизацией, позволяющая нарушителю вызвать отка
Уязвимость ядра операционной системы Linux, связанная с неосвобождением ресурса после истечения действительного срока ег
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
