КиберосноваSGRC
BDU:2022-05711
Низкий

BDU:2022-05711: Уязвимость компонента security.capability эмулятора аппаратного обеспечения QEMU, позволяющая нарушителю оказать воздействие на целостность данных

CVSS v33.3
CVSS v21.7
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2022-05711

Описание

Уязвимость компонента security.capability эмулятора аппаратного обеспечения QEMU связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных

Что делать с BDU:2022-05711

Низкая уязвимость (CVSS 3.3) — устраните при плановом обновлении. Если уязвимый компонент не используется в критичных системах, риск минимален.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
3.3Низкий
Пересчитать →
v2
1.7
Только просмотр
AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:NAV:L/AC:L/Au:S/C:N/I:P/A:N

CWE — тип уязвимости

CWE-281

CVE — международный идентификатор

CVE-2021-20263

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (6)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.7Не указана
QEMU ProjectQEMUот 5.0.0 до 5.2.50Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.7ARM
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.5Не указана

Среды функционирования (5)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.7Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition4.7ARM
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.5Не указана

Рекомендации по устранению

Для QEMU: использование рекомендаций производителя: https://git.qemu.org/?p=qemu.git;a=commit;h=e586edcb410543768ef009eaa22a2d9dd4a53846 https://git.qemu.org/?p=qemu.git;a=commit;h=1e08f164e9fdc9528ad6990012301b9a04b0bc90 Для Debian: использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-20263 Для ОС Astra Linux: использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17 Для ОСОН Основа: Обновление программного обеспечения qemu до версии 1:6.2+dfsg-3onyx0

Источники (1)

SLA ФСТЭК №117

По регламенту

по базовой оценке CVSS 3.3

Уточните SLA под вашу среду

Базовый балл 3.3 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации0.4%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2021-02-09

Опубликована

2022-09-14

Обновлена

2022-10-19

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2021-20263 MITRE: CWE-281 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
7.5

Уязвимость эмулятора аппаратного обеспечения QEMU, связанная с использованием функции assert() или похожего оператора, п

 
Средний
7.8

Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая

 
Средний
5.5

Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая

 
Низкий
4.7

Уязвимость ядра операционной системы Linux, связанная с неправильной синхронизацией, позволяющая нарушителю вызвать отка

 
Средний
5.5

Уязвимость ядра операционной системы Linux, связанная с неполной очисткой временных или вспомогательных ресурсов, позвол

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0