КиберосноваSGRC
BDU:2023-05622
Высокий

BDU:2023-05622: Уязвимость декодера Bzip2Decoder сетевого программного средства Netty, позволяющая нарушителю вызвать отказ в обслуживании

CVSS v37.5
CVSS v27.8
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2023-05622

Описание

Уязвимость декодера Bzip2Decoder сетевого программного средства Netty связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Что делать с BDU:2023-05622

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.5Высокий
Пересчитать →
v2
7.8
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:L/Au:N/C:N/I:N/A:C

CWE — тип уязвимости

CWE-400

CVE — международный идентификатор

CVE-2021-37136
CWE-400
Неконтролируемое потребление ресурсов

Программа не ограничивает потребление CPU/RAM/диска. Приводит к отказу в обслуживании (DoS).

Как атакуют и что делать ▾

Сценарий атаки

Атакующий отправляет множество тяжёлых запросов или запрос, вызывающий экспоненциальную обработку (ReDoS, zip bomb).

Последствия

Отказ в обслуживании: сервер перестаёт отвечать легитимным пользователям.

Рекомендации

Ограничивайте rate limit, размер запроса, время обработки. Используйте очереди и таймауты.

Тактики и техники

Исчерпание ресурсов

Уязвимое ПО (41)

ВендорНазваниеВерсияПлатформа
Oracle Corp.PeopleSoft Enterprise PeopleTools8.57Не указана
Oracle Corp.Oracle Communications Messaging Server8.1Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
NetApp Inc.SnapCenter-Не указана
NetApp Inc.Oncommand Insight-Не указана
Oracle Corp.Oracle Coherence12.2.1.4.0Не указана
Oracle Corp.PeopleSoft Enterprise PeopleTools8.58Не указана
Oracle Corp.Oracle Coherence14.1.1.0.0Не указана
Oracle Corp.Oracle Banking Digital Experience19.1Не указана
Oracle Corp.Oracle Banking Digital Experience19.2Не указана
Oracle Corp.Oracle Banking Digital Experience20.1Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Oracle Corp.Oracle WebCenter Portal12.2.1.3.0Не указана
Oracle Corp.Oracle WebCenter Portal12.2.1.4.0Не указана
Oracle Corp.PeopleSoft Enterprise PeopleTools8.59Не указана
NetApp Inc.Active IQ Unified Manager for Microsoft Windows-Не указана
Oracle Corp.Oracle Banking Digital Experience21.1Не указана
Oracle Corp.Oracle Banking APIsот 18.1 до 18.3 включительноНе указана
Oracle Corp.Oracle Banking APIs19.1Не указана
Oracle Corp.Oracle Banking APIs19.2Не указана
Oracle Corp.Oracle Banking APIs20.1Не указана
Oracle Corp.Oracle Banking APIs21.1Не указана
Oracle Corp.Helidon1.4.10Не указана
Oracle Corp.Oracle Communications Cloud Native Core Policy1.15.0Не указана
Oracle Corp.Commerce Guided Search11.3.2Не указана
Oracle Corp.Communications Cloud Native Core Binding Support Function1.10.0Не указана
Oracle Corp.Communications Diameter Signaling Routerот 8.0.0.0 до 8.5.0.2 включительноНе указана
АО "НППКТ"ОСОН ОСнова Оnyxдо 2.7Не указана
Oracle Corp.Oracle Communications Cloud Native Core Unified Data Repository1.15.0Не указана
Apache Software FoundationCassandra4.1.3Не указана
Apache Software Foundationnettyдо 4.1.68Не указана
NetApp Inc.Active IQ Unified Manager for Linux-Не указана
NetApp Inc.Cloud Insights Storage Workload Security Agent-Не указана
Oracle Corp.Communications BRM - Elastic Charging Engineдо 12.0.0.4.6Не указана
Oracle Corp.Communications BRM - Elastic Charging Engineдо 12.0.0.5.1Не указана
Oracle Corp.Oracle Banking Digital Experienceот 18.1 до 18.3 включительноНе указана
Oracle Corp.Communications Cloud Native Core Binding Support Function1.11.0Не указана
Oracle Corp.Oracle Communications Cloud Native Core Network Slice Selection Function1.8.0Не указана
Oracle Corp.Oracle Communications Cloud Native Core Security Edge Protection Proxy1.7.0Не указана
Oracle Corp.Helidon2.4.0Не указана
Сообщество свободного программного обеспеченияquarkusдо 2.2.4Не указана

Среды функционирования (3)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
АО "НППКТ"ОСОН ОСнова Оnyxдо 2.7Не указана

Рекомендации по устранению

Компенсирующие меры: - использование антивирусных средств защиты; - мониторинг действий пользователей; - запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе; - применение систем обнаружения и предотвращения вторжений. Использование рекомендаций: Для Netty: https://github.com/netty/netty/security/advisories/GHSA-grg4-wf29-r9vv Для Debian GNU/Linux: https://lists.debian.org/debian-lts-announce/2023/01/msg00008.html https://www.debian.org/security/2023/dsa-5316 Для программных продуктов Netapp: https://security.netapp.com/advisory/ntap-20220210-0012/ Для программных продуктов Oracle: https://www.oracle.com/security-alerts/cpuapr2022.html https://www.oracle.com/security-alerts/cpujan2022.html https://www.oracle.com/security-alerts/cpujul2022.html Для ОСОН ОСнова Оnyx: Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u3

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации1.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2021-10-22

Опубликована

2023-09-14

Обновлена

2024-12-10

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2021-37136 MITRE: CWE-400 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2025-06618
Средний
5.5

Уязвимость распределённой системы управления базами данных Apache Cassandra, связанная с неправильной обработка привилег

BDU:2025-01159
Высокий
9.9

Уязвимость компонентов CassandraNetworkAuthorizer и CassandraCIDRAuthorizer распределённой системы управления базами дан

BDU:2025-01582
Высокий
8.8

Уязвимость распределённой системы управления базами данных Apache Cassandra, связанная с небезопасным управлением привил

BDU:2024-03033
Критический
9.8

Уязвимость Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security, связанная с неполной оч

BDU:2025-01150
Низкий
3.3

Уязвимость интерфейса JMX распределённой системы управления базами данных Apache Cassandra, позволяющая нарушителю реали

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0