КиберосноваSGRC
BDU:2018-01502
Высокий

BDU:2018-01502: Уязвимость программной Unix-утилиты GNU Patch, связанная с недостаточной проверкой входных данных, позволяющая нарушителю вызвать отказ в обслуживании, получить доступ к конфиденциальным данным или нарушить их целостность

CVSS v37.8
CVSS v29.3

Детали уязвимости BDU:2018-01502

Описание

Уязвимость программной Unix-утилиты GNU Patch связана с поддержкой работы с патчами в устаревшем формате "ed", который допускает выполнение сторонних команд при помощи оператора "!". Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполненить произвольный код

Что делать с BDU:2018-01502

Высокая уязвимость (CVSS 7.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.8Высокий
Пересчитать →
v2
9.3
Только просмотр
AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAV:N/AC:M/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CVE — международный идентификатор

CWE-20
Недостаточная проверка ввода

Программа не проверяет или неправильно проверяет входные данные. Базовая причина большинства инъекций и переполнений.

Как атакуют и что делать ▾

Сценарий атаки

Атакующий отправляет неожиданный ввод: отрицательные числа, спецсимволы, сверхдлинные строки — программа обрабатывает их без проверки.

Последствия

Базовая причина большинства инъекций, переполнений и логических ошибок.

Рекомендации

Валидируйте все входные данные по white-list, ограничивайте длину, тип и диапазон значений.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (39)

ВендорНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu14.04 LTSНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
Red Hat Inc.Red Hat Enterprise Linux5Не указана
Red Hat Inc.Red Hat Enterprise Linux6Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Canonical Ltd.Ubuntu16.04 LTSНе указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Novell Inc.OpenSUSE Leap42.3Не указана
Canonical Ltd.Ubuntu17.10Не указана
Сообщество свободного программного обеспеченияGNU Patchдо 2.7.6Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Novell Inc.Suse Linux Enterprise Desktop12 SP3Не указана
Novell Inc.Suse Linux Enterprise Desktop12 SP4Не указана
Novell Inc.SUSE Linux Enterprise Server for SAP Applications12 SP3Не указана
Novell Inc.Suse Linux Enterprise Server12 SP3Не указана
Novell Inc.Suse Linux Enterprise Server12 SP4Не указана
Novell Inc.Suse Linux Enterprise Server11 SP4Не указана
Canonical Ltd.Ubuntu12.04 ESMНе указана
Novell Inc.SUSE Linux Enterprise Module for Basesystem15 SP1Не указана
Novell Inc.SUSE Linux Enterprise Module for Development Tools15Не указана
Novell Inc.SUSE Linux Enterprise Point of Sale11 SP3Не указана
Novell Inc.SUSE Linux Enterprise Server for SAP Applications11 SP3-LTSSНе указана
Novell Inc.SUSE Linux Enterprise Server for SAP Applications11 SP4Не указана
Novell Inc.Suse Linux Enterprise Server12 SP5Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Novell Inc.Suse Linux Enterprise Server11 SP3-LTSSНе указана
Red Hat Inc.Red Hat Enterprise Linux7.4 Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Telco Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.3 Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.5 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.6 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.6 Telco Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.4 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Update Services for SAP SolutionsНе указана
Red Hat Inc.Red Hat Enterprise Linux6.7 Extended Update SupportНе указана
Novell Inc.SUSE Linux Enterprise High Performance Computing12 SP5Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана

Среды функционирования (25)

ВендорНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu14.04 LTSНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
Red Hat Inc.Red Hat Enterprise Linux5Не указана
Red Hat Inc.Red Hat Enterprise Linux6Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Canonical Ltd.Ubuntu16.04 LTSНе указана
Сообщество свободного программного обеспеченияLinux-Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Novell Inc.OpenSUSE Leap42.3Не указана
Canonical Ltd.Ubuntu17.10Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Canonical Ltd.Ubuntu12.04 ESMНе указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Red Hat Inc.Red Hat Enterprise Linux7.4 Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Telco Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.3 Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.5 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.6 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.6 Telco Extended Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux6.4 Advanced Update SupportНе указана
Red Hat Inc.Red Hat Enterprise Linux7.2 Update Services for SAP SolutionsНе указана
Red Hat Inc.Red Hat Enterprise Linux6.7 Extended Update SupportНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана

Рекомендации по устранению

Использование рекомендаций: Для GNU Patch: Обновление программного обеспечения до 2.7.6 или более поздней версии Для Debian: https://security-tracker.debian.org/tracker/CVE-2018-1000156 Для Astra Linux: Обновление программного обеспечения (пакета patch) до 2.7.5-1+deb8u1 или более поздней версии Или: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2018-1000156 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2018-1000156/ Для Ubuntu: https://usn.ubuntu.com/3624-1/ https://usn.ubuntu.com/3624-2/ Для ОС ОН «Стрелец»: Обновление программного обеспечения patch до версии 2.7.5-1+deb9u2

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.8

Уточните SLA под вашу среду

Базовый балл 7.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации5.6%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2018-04-05

Опубликована

2018-12-18

Обновлена

2023-11-21

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат 2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Связанные уязвимости

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0