КиберосноваSGRC
BDU:2024-00852
Средний

BDU:2024-00852: Уязвимость функции getaddrinfo библиотеки GNU C (glibc), позволяющая нарушителю вызвать отказ в обслуживании

CVSS v35.9
CVSS v25.4
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2024-00852

Описание

Уязвимость функции getaddrinfo библиотеки GNU C (glibc) связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Что делать с BDU:2024-00852

Уязвимость среднего уровня (CVSS 5.9) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
5.9Средний
Пересчитать →
v2
5.4
Только просмотр
AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:H/Au:N/C:N/I:N/A:C

CWE — тип уязвимости

CWE-416

CVE — международный идентификатор

CVE-2023-4806
CWE-416
Использование после освобождения памяти

Обращение к памяти после её освобождения. Может привести к выполнению произвольного кода.

Как атакуют и что делать ▾

Сценарий атаки

Программа обращается к блоку памяти после его освобождения. Атакующий заполняет освобождённую память своими данными.

Последствия

Выполнение произвольного кода, повышение привилегий.

Рекомендации

Обнуляйте указатели после free(), используйте smart pointers (C++), применяйте AddressSanitizer.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (64)

ВендорНазваниеВерсияПлатформа
Red Hat Inc.Red Hat Enterprise Linux6Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Canonical Ltd.Ubuntu16.04 LTSНе указана
Red Hat Inc.Red Hat Enterprise Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
NetApp Inc.ONTAP Select Deploy-Не указана
Novell Inc.openSUSE Tumbleweed-Не указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Red Hat Inc.Red Hat Virtualization4 for RHEL 8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана
NetApp Inc.Active IQ Unified Manager for VMware vSphere-Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat Inc.Red Hat Enterprise Linux9Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H410C-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H300S-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H500S-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H700S-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H410S-Не указана
Fedora ProjectFedora37Не указана
NetApp Inc.AFF Baseboard Management Controller A700s-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller A320-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller C190-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller A220-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller FAS2720-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller FAS2750-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller A800-Не указана
Red Hat Inc.Red Hat Enterprise Linux8.6 Extended Update SupportНе указана
Fedora ProjectFedora38Не указана
Fedora ProjectFedora39Не указана
Canonical Ltd.Ubuntu18.04 ESMНе указана
Canonical Ltd.Ubuntu23.04Не указана
АО «НТЦ ИТ РОСА»РОСА ХРОМ12.4Не указана
NetApp Inc.NetApp SolidFire & HCI Storage Node-Не указана
NetApp Inc.NetApp SolidFire & HCI Management Node-Не указана
NetApp Inc.ATTO FibreBridge 7500N-Не указана
NetApp Inc.ATTO FibreBridge 7600N-Не указана
NetApp Inc.Brocade Fabric Operating System Firmware-Не указана
NetApp Inc.Cloud Volumes ONTAP Mediator-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller A250-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller 500f-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller C250-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller C800-Не указана
NetApp Inc.FAS/AFF Baseboard Management Controller A150-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H610C-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H610S-Не указана
NetApp Inc.NetApp HCI Baseboard Management Controller H615C-Не указана
NetApp Inc.NetApp HCI Compute Node BIOS-Не указана
Novell Inc.SUSE Liberty Linux9Не указана
The GNU Projectglibc2.33Не указана

Показано 50 из 64

Среды функционирования (20)

ВендорНазваниеВерсияПлатформа
Red Hat Inc.Red Hat Enterprise Linux6Не указана
Red Hat Inc.Red Hat Enterprise Linux7Не указана
Canonical Ltd.Ubuntu16.04 LTSНе указана
Red Hat Inc.Red Hat Enterprise Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Novell Inc.openSUSE Tumbleweed-Не указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана
Canonical Ltd.Ubuntu22.04 LTSНе указана
Red Hat Inc.Red Hat Enterprise Linux9Не указана
Fedora ProjectFedora37Не указана
Red Hat Inc.Red Hat Enterprise Linux8.6 Extended Update SupportНе указана
Fedora ProjectFedora38Не указана
Fedora ProjectFedora39Не указана
Canonical Ltd.Ubuntu18.04 ESMНе указана
Canonical Ltd.Ubuntu23.04Не указана
АО «НТЦ ИТ РОСА»РОСА ХРОМ12.4Не указана
Novell Inc.SUSE Liberty Linux9Не указана
Novell Inc.SUSE Liberty Linux8Не указана

Рекомендации по устранению

Использование рекомендаций: Для библиотеки GNU C: https://sourceware.org/git/gitweb.cgi?p=glibc.git;h=973fe93a5675c42798b2161c6f29c01b0e243994 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4DBUQRRPB47TC3NJOUIBVWUGFHBJAFDL/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DFG4P76UHHZEWQ26FWBXG76N2QLKKPZA/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NDAQWHTSVOCOZ5K6KPIWKRT3JX4RTZUR/ Для программных продуктов NetApp Inc.: https://security.netapp.com/advisory/ntap-20240125-0008/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2023-4806 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2023-4806 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2023-4806.html Для Ubuntu: https://ubuntu.com/security/notices/USN-6541-2 https://ubuntu.com/security/notices/USN-6541-1 Компенсирующие меры для Harbor : - отключение/удаление неиспользуемых учетных записей пользователей; - минимизация пользовательских привилегий; - использование антивирусных средств защиты; - контроль действий пользователей. Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2637

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 5.9

Уточните SLA под вашу среду

Базовый балл 5.9 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать

Низкий текущий риск. Устраните при плановом обновлении.

EPSS — вероятность эксплуатации1.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2023-09-18

Опубликована

2024-01-31

Обновлена

2025-03-05

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2023-4806 MITRE: CWE-416 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2024-03033
Критический
9.8

Уязвимость Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security, связанная с неполной оч

BDU:2024-04269
Высокий
7.5

Уязвимость DNS-сервера BIND, связанная с недостатком использования функции assert(), позволяющая нарушителю вызвать отка

BDU:2024-01069
Средний
4.9

Уязвимость компонента Server: DDL системы управления базами данных MySQL Server, позволяющая нарушителю вызвать отказ в

BDU:2024-01070
Средний
4.9

Уязвимость компонента Server: UDF системы управления базами данных MySQL Server, позволяющая нарушителю вызвать отказ в

BDU:2024-01068
Средний
6.5

Уязвимость компонента Server: Optimizer системы управления базами данных MySQL Server, позволяющая нарушителю вызвать от

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0