BDU:2023-03675: Уязвимость приложения для упрощения и стандартизации распространения содержимого контейнеров Open Container Initiative Distribution Specification (OCI Distribution Specification), связанная с ошибкой смешения типов, позволяющая нарушителю оказать воздействие на целостность защищаемой информации
Детали уязвимости BDU:2023-03675
Описание
Уязвимость приложения для упрощения и стандартизации распространения содержимого контейнеров Open Container Initiative Distribution Specification (OCI Distribution Specification) связана с ошибкой смешения типов при обработке заголовка Content-Type, содержащего поля «manifests» и «layers» или «manifests» и «config» в процессе выполнения операций push и pull. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации
Что делать с BDU:2023-03675
Уязвимость среднего уровня (CVSS 3.0) — устраните в рамках планового цикла обновлений. Срок задаёт внутренний регламент организации (п. 38 приказа ФСТЭК № 117). Оцените применимость к вашей инфраструктуре через список затронутого ПО.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:NAV:N/AC:L/Au:S/C:N/I:P/A:NCWE — тип уязвимости
CVE — международный идентификатор
CWE-843 — путаница типов: ресурс создаётся с одним типом, а затем используется как другой, несовместимый. Ошибка проявляется в C и C++ при разборе структур и работе с объединениями, а также в интерпретируемых языках при подмене типов. Злоумышленник добивается выхода за границы буфера, чтения чужих данных или выполнения произвольного кода.
Как атакуют и что делать ▾
Сценарий атаки
Объект одного типа интерпретируется как другой (type confusion в JavaScript-движке). Атакующий получает доступ к произвольной памяти.
Последствия
Выполнение произвольного кода в контексте браузера или runtime.
Рекомендации
Обновляйте runtime/движок, используйте strict typing, fuzzing для обнаружения.
Тактики и техники
Уязвимое ПО (19)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| Fedora Project | Fedora | 34 | Не указана |
| Fedora Project | Fedora | 35 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| АО «ИВК» | Альт 8 СП | - | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Container Platform | 4 | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 9 | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Container Platform | 4.10 | Не указана |
| Red Hat, Inc. | Red Hat Advanced Cluster Security (RHACS) for Kubernetes | 3.70 | Не указана |
| Red Hat, Inc. | Red Hat Advanced Cluster Management for Kubernetes | 2.5 | Не указана |
| IBM Corp. | IBM CICS TX Advanced | 11.1 | Не указана |
| Red Hat, Inc. | Red Hat Migration Toolkit for Containers | 1.7 | Не указана |
| Red Hat, Inc. | Podman | до 3.4.3 | Не указана |
| Сообщество свободного программного обеспечения | Open Container Initiative Distribution Specification | до 1.0.0 включительно | Не указана |
| Сообщество свободного программного обеспечения | OCI Image Format Specification | до 1.0.1 включительно | Не указана |
| Cloud Native Computing Foundation | Containerd | до 1.4.12 | Не указана |
| Cloud Native Computing Foundation | Containerd | от 1.5.0 до 1.5.8 | Не указана |
| Moby Project | Moby | до 20.10.11 | Не указана |
| Red Hat, Inc. | Red Hat OpenShift Container Platform | 4.11 | Не указана |
Среды функционирования (6)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Red Hat, Inc. | Red Hat Enterprise Linux | 8 | Не указана |
| Fedora Project | Fedora | 34 | Не указана |
| Fedora Project | Fedora | 35 | Не указана |
| ООО «Ред Софт» | РЕД ОС | 7.3 | Не указана |
| АО «ИВК» | Альт 8 СП | - | Не указана |
| Red Hat, Inc. | Red Hat Enterprise Linux | 9 | Не указана |
Рекомендации по устранению
Использование рекомендаций: Для Open Container Initiative Distribution Specification: https://github.com/opencontainers/distribution-spec/commit/ac28cac0557bcd3084714ab09f9f2356fe504923 https://github.com/opencontainers/distribution-spec/releases/tag/v1.0.1 Для OCI Image Format Specification: https://github.com/opencontainers/image-spec/releases/tag/v1.0.2 https://github.com/opencontainers/image-spec/security/advisories/GHSA-77vh-xpmg-72qh Для Podman: https://github.com/containers/podman/releases/tag/v3.4.3 Для Containerd: https://github.com/containerd/containerd/releases/tag/v1.4.12 https://github.com/containerd/containerd/releases/tag/v1.5.8 Для Moby: https://github.com/moby/moby/releases/tag/v20.10.11 Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/ Для продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2021-41190 Для Fedora: ttps://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3TUZNDAH2B26VPBK342UC3BHZNLBUXGX/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4334HT7AZPLWNYHW4ARU6JBUF3VZJPZN/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/A2RRFNTMFYKOTRKD37F5ANMCIO3GGJML/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DX63GRWFEI5RVMYV6XLMCG4OHPWZML27/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RZTO6N55WHKHIZI4IMLY2QFBPMVTAERM/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SQBCYJUIM5GVCMFUPRWKRZNXMMI5EFA4/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/T4OJ764CKKCWCVONHD4YXTGR7HZ7LRUV/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YIGVQWOA5XXCQXEOOKZX4CDAGLBDRPRX/ Для IBM CICS TX Advanced: https://www.ibm.com/support/pages/security-bulletin-ibm-cics-tx-advanced-vulnerable-open-container-initiative-distribution-specification-vulnerability-cve-2021-41190 Компенсирующие меры: При извлечении данных из реестра рекомендуется проверять данные с заголовком Content-Type, содержащие поля «manifests» и «layers» или «manifests» и «config» и отклонять такие документы. Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
SLA ФСТЭК №117
По регламенту
по базовой оценке CVSS 3.0
Уточните SLA под вашу среду
Базовый балл 3.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать
Низкий текущий риск. Устраните при плановом обновлении.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2021-11-17
Опубликована
2023-07-13
Обновлена
2023-08-08
Эксплойт
Данные уточняются
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость среды выполнения контейнеров Containerd, связанная с ошибками обработки ссылок, позволяющая нарушителю раскры
Уязвимость механизма обработки меток конфигурации образов CRI-плагина среды выполнения контейнеров Containerd, позволяющ
Уязвимость механизма обработки групп пользователей среды выполнения контейнеров Containerd, позволяющая нарушителю вызва
Уязвимость процесса импорта контрольной точки CRI среды выполнения контейнеров Containerd, позволяющая нарушителю выполн
Уязвимость среды выполнения контейнеров Containerd, связанная с недостаточной проверкой вводимых данных, позволяющая нар
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
