The OVAL Astra Linux 5.11.1 2026-09-26T12:24:37.483217+00:00 Astra Linux 1.8 liblivemedia In Live Networks, Inc., liblivemedia version 20200625, there is a potential buffer overflow bug in the server handling of a RTSP "PLAY" command, when the command specifies seeking by absolute time. Уязвимость компонента RTSP PLAY Command Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО liblivemedia, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании функций библиотеки liblivemedia необходимо настроить максимальную длину принимаемых RTSP команд и параметров. Astra Linux 1.8 liblivemedia Vulnerability in the AC3AudioFileServerMediaSubsession, ADTSAudioFileServerMediaSubsession, and AMRAudioFileServerMediaSubsessionLive OnDemandServerMediaSubsession subclasses in Networks LIVE555 Streaming Media before 2021.3.16. Уязвимость подклассов AC3AudioFileServerMediaSubsession, ADTSAudioFileServerMediaSubsession, AMRAudioFileServerMediaSubsessionLive и OnDemandServerMediaSubsession группы библиотек для потоковой передачи мультимедиа Live555 связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 openjpeg2 A heap-based buffer overflow was found in openjpeg in color.c:379:42 in sycc420_to_rgb when decompressing a crafted .j2k file. An attacker could use this to execute arbitrary code with the permissions of the application compiled against openjpeg. Уязвимость компонента color.c функции sycc420_to_rgb библиотеки для кодирования и декодирования изображений OpenJPEG связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного .j2k файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:P/I:P/A:P', score=6.8) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) openjpeg2: - Используйте openjpeg2 с минимально необходимыми привилегиями - Активировать режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - При использовании ПО openjpeg2 выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 liblivemedia Live555 through 1.08 mishandles huge requests for the same MP3 stream, leading to recursion and s stack-based buffer over-read. An attacker can leverage this to launch a DoS attack. Уязвимость компонента MP3 Stream Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 does not handle MPEG-1 or 2 files properly. Sending two successive RTSP SETUP commands for the same track causes a Use-After-Free and daemon crash. Уязвимость группы библиотек для потоковой передачи мультимедиа Live555 связана с некорректной обработкой последовательности двух команд RTSP SETUP. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 does not handle Matroska and Ogg files properly. Sending two successive RTSP SETUP commands for the same track causes a Use-After-Free and daemon crash. Уязвимость группы библиотек для потоковой передачи мультимедиа Live555 связана с некорректной обработкой последовательности двух команд RTSP SETUP. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia Live555 through 1.08 has a memory leak in AC3AudioStreamParser for AC3 files. Уязвимость компонента AC3 File Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:N/I:N/A:P', score=5.0) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 liblivemedia liveMedia/FramedSource.cpp in Live555 through 1.08 allows an assertion failure and application exit via multiple SETUP and PLAY commands. Уязвимость команды PLAY группы библиотек для потоковой передачи мультимедиа Live555 связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) liblivemedia: - Отказаться от использования библиотеки liblivemedia - При использовании ПО, использующего библиотеку liblivemedia, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку liblivemedia, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 linux-6.1 A flaw was found in the filelock_init in fs/locks.c function in the Linux kernel. This issue can lead to host memory exhaustion due to memcg not limiting the number of Portable Operating System Interface (POSIX) file locks. Уязвимость функции filelock_init механизма блокировок (fs/locks.c) ядра операционной системы Linux связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 glusterfs In Gluster GlusterFS 11.0, there is an xlators/cluster/dht/src/dht-common.c dht_setxattr_mds_cbk use-after-free. Уязвимость функции dht_setxattr_mds_cbk компонента xlators/cluster/dht/src/dht-common.c файловой системы GlusterFS связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) glusterfs: - Отказаться от использования ПО glusterfs в пользу ПО ceph - При использовании ПО glusterfs выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 mongo-c-driver When calling bson_utf8_validate on some inputs a loop with an exit condition that cannot be reached may occur, i.e. an infinite loop. This issue affects All MongoDB C Driver versions prior to versions 1.25.0. Уязвимость функции bson_utf8_validate() библиотеки MongoDB C Driver связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835'), NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) mongo-c-driver: - Запускайте mongo-c-driver с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к конфигурационным файлам mongo-c-driver так, чтобы их могли изменять только администраторы системы. - Задействуйте контейнеризацию (например, Docker) Astra Linux 1.8 liblivemedia A heap-use-after-free vulnerability was found in live555 version 2023.05.10 while handling the SETUP. Уязвимость компонента Setup Handler группы библиотек для потоковой передачи мультимедиа Live555 связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО liblivemedia, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании функций библиотеки liblivemedia необходимо настроить ограничения на количество одновременных RTSP SETUP запросов. Astra Linux 1.8 exim4 Exim dnsdb Out-Of-Bounds Read Information Disclosure Vulnerability. This vulnerability allows network-adjacent attackers to disclose sensitive information on affected installations of Exim. Authentication is not required to exploit this vulnerability. The specific flaw exists within the smtp service, which listens on TCP port 25 by default. The issue results from the lack of proper validation of user-supplied data, which can result in a read past the end of an allocated buffer. An attacker can leverage this in conjunction with other vulnerabilities to execute arbitrary code in the context of the service account. . Was ZDI-CAN-17643. Уязвимость почтового сервера Exim связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:N', score=3.1) Используйте надежный преобразователь DNS, который способен проверять данные в соответствии с типами записей DNS. Astra Linux 1.8 ansible A flaw was found in the Ansible Automation Platform. When creating a new keypair, the ec2_key module prints out the private key directly to the standard output. This flaw allows an attacker to fetch those keys from the log files, compromising the system's confidentiality, integrity, and availability. Уязвимость модуля ec2_key системы управления конфигурациями Ansible связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-497')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Обеспечить возможность запуска ansible только доверенными пользователями ОС 2. Активировать режим Киоск-2 для непривилегированных пользователей системы 3. Обеспечить применение ПО ansible только на выделенном уровне целостности Astra Linux 1.8 exim4 Exim before 4.97.1 allows SMTP smuggling in certain PIPELINING/CHUNKING configurations. Remote attackers can use a published exploitation technique to inject e-mail messages with a spoofed MAIL FROM address, allowing bypass of an SPF protection mechanism. This occurs because Exim supports <LF>.<CR><LF> but some other popular e-mail servers do not. Уязвимость реализации протокола SMTP почтового сервера Exim связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) exim4: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. psi/zmisc1.c, when SAFER mode is used, allows eexec seeds other than the Type 1 standard. Уязвимость компонента psi/zmisc1.c набора программного обеспечения обработки документов Ghostscript связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gfs2: Fix slab-use-after-free in gfs2_qd_dealloc In gfs2_put_super(), whether withdrawn or not, the quota should be cleaned up by gfs2_quota_cleanup(). Otherwise, struct gfs2_sbd will be freed before gfs2_qd_dealloc (rcu callback) has run for all gfs2_quota_data objects, resulting in use-after-free. Also, gfs2_destroy_threads() and gfs2_quota_cleanup() is already called by gfs2_make_fs_ro(), so in gfs2_put_super(), after calling gfs2_make_fs_ro(), there is no need to call them again. Уязвимость функции gfs2_put_super() в модуле fs/gfs2/super.c файловой системы gfs2 ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 A Speculative Race Condition (SRC) vulnerability that impacts modern CPU architectures supporting speculative execution (related to Spectre V1) has been disclosed. An unauthenticated attacker can exploit this vulnerability to disclose arbitrary data from the CPU using race conditions to access the speculative executable code paths. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:H/UI:N/S:U/C:H/I:H/A:N', score=5.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 mbedtls An issue was discovered in Mbed TLS 2.x before 2.28.7 and 3.x before 3.5.2. There was a timing side channel in RSA private operations. This side channel could be sufficient for a local attacker to recover the plaintext. It requires the attacker to send a large number of messages for decryption, as described in "Everlasting ROBOT: the Marvin Attack" by Hubert Kario. Уязвимость программного обеспечения Mbed TLS существует из-за временного бокового канала в частных операциях RSA. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, реализовать атаку Марвина (Marvin) и получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-385')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) mbedtls: - Удалить ПО mbedtls, если оно не используется и не является зависимостью других пакетов - Обеспечить возможность запуска mbedtls только доверенными пользователями ОС - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 mbedtls Integer Overflow vulnerability in Mbed TLS 2.x before 2.28.7 and 3.x before 3.5.2, allows attackers to cause a denial of service (DoS) via mbedtls_x509_set_extension(). Уязвимость функции mbedtls_x509_set_extension программного обеспечения Mbed TLS связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Убедитесь, что значение длины SIZE_MAX не может быть передано в mbedtls_x509_set_extension() Astra Linux 1.8 libarchive Libarchive Remote Code Execution Vulnerability Уязвимость библиотеки архивирования Libarchive связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64/sme: Always exit sme_alloc() early with existing storage When sme_alloc() is called with existing storage and we are not flushing we will always allocate new storage, both leaking the existing storage and corrupting the state. Fix this by separating the checks for flushing and for existing storage as we do for SVE. Callers that reallocate (eg, due to changing the vector length) should call sme_free() themselves. Уязвимость функции fpsimd_release_task() компонента arch/arm64/kernel/fpsimd.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 mbedtls An issue was discovered in Mbed TLS 2.18.0 through 2.28.x before 2.28.8 and 3.x before 3.6.0, and Mbed Crypto. The PSA Crypto API mishandles shared memory. Уязвимость интерфейса PSA Crypto API реализации протоколов TLS и SSL Mbed TLS связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:N', score=8.2) mbedtls: - Удалить ПО mbedtls, если оно не используется и не является зависимостью других пакетов - Обеспечить возможность запуска mbedtls только доверенными пользователями ОС - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.1 allows memory corruption, and SAFER sandbox bypass, via format string injection with a uniprint device. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить выход из изолированной программной среды [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.3) 1. Запускать ПО ghostscript с флагом -dSAFER. Флаг -dSAFER в Ghostscript активирует режим безопасности, который ограничивает возможности выполняемого PostScript кода. Пример использования ПО Ghostscript с флагом -dSAFER: ``` gs -dSAFER -dBATCH -dNOPAUSE -sDEVICE=pdfwrite -sOutputFile=output.pdf input.ps ``` 2. НЕ использовать устройство вывода типа uniprint. Для этого НЕ запускайте ПО Ghostscript с флагом -sDEVICE и значением uniprint, т.е. -sDEVICE=uniprint Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. Path traversal and command execution can occur (via a crafted PostScript document) because of path reduction in base/gpmisc.c. For example, restrictions on use of %pipe% can be bypassed via the aa/../%pipe%command# output filename. Уязвимость файла base/gpmisc.c набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=5.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. There is path traversal (via a crafted PostScript document) to arbitrary files if the current directory is in the permitted paths. For example, there can be a transformation of ../../foo to ./../../foo and this will grant access if ./ is permitted. Уязвимость интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с ошибками в обработке относительного пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=6.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in Artifex Ghostscript before 10.03.1. contrib/opvp/gdevopvp.c allows arbitrary code execution via a custom Driver library, exploitable via a crafted PostScript document. This occurs because the Driver parameter for opvp (and oprp) devices can have an arbitrary name for a dynamic library; this library is then loaded. Уязвимость компонента contrib/opvp/gdevopvp.c интерпретатора набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально сформированного PostScript-файла [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 botan Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. Prior to versions 3.3.0 and 2.19.4, an attacker could present an ECDSA X.509 certificate using explicit encoding where the parameters are very large. The proof of concept used a 16Kbit prime for this purpose. When parsing, the parameter is checked to be prime, causing excessive computation. This was patched in 2.19.4 and 3.3.0 to allow the prime parameter of the elliptic curve to be at most 521 bits. No known workarounds are available. Note that support for explicit encoding of elliptic curve parameters is deprecated in Botan. Уязвимость криптографической библиотеки Botan связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного сертификата ECDSA X.509 [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-mapping: benchmark: fix node id validation While validating node ids in map_benchmark_ioctl(), node_possible() may be provided with invalid argument outside of [0,MAX_NUMNODES-1] range leading to: BUG: KASAN: wild-memory-access in map_benchmark_ioctl (kernel/dma/map_benchmark.c:214) Read of size 8 at addr 1fffffff8ccb6398 by task dma_map_benchma/971 CPU: 7 PID: 971 Comm: dma_map_benchma Not tainted 6.9.0-rc6 #37 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117) kasan_report (mm/kasan/report.c:603) kasan_check_range (mm/kasan/generic.c:189) variable_test_bit (arch/x86/include/asm/bitops.h:227) [inline] arch_test_bit (arch/x86/include/asm/bitops.h:239) [inline] _test_bit at (include/asm-generic/bitops/instrumented-non-atomic.h:142) [inline] node_state (include/linux/nodemask.h:423) [inline] map_benchmark_ioctl (kernel/dma/map_benchmark.c:214) full_proxy_unlocked_ioctl (fs/debugfs/file.c:333) __x64_sys_ioctl (fs/ioctl.c:890) do_syscall_64 (arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Compare node ids with sane bounds first. NUMA_NO_NODE is considered a special valid case meaning that benchmarking kthreads won't be bound to a cpuset of a given node. Found by Linux Verification Center (linuxtesting.org). Уязвимость компонента dma-mapping ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 composer Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `status`, `reinstall` and `remove` commands with packages installed from source via git containing specially crafted branch names in the repository can be used to execute code. Patches for this issue are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid installing dependencies via git by using `--prefer-dist` or the `preferred-install: dist` config setting. Уязвимость функции getUnpushedChanges() менеджера зависимостей для PHP Composer связана с неправильной нейтрализацией специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды с помощью команд `status`, `reinstall` и `remove` [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 composer Composer is a dependency manager for PHP. On the 2.x branch prior to versions 2.2.24 and 2.7.7, the `composer install` command running inside a git/hg repository which has specially crafted branch names can lead to command injection. This requires cloning untrusted repositories. Patches are available in version 2.2.24 for 2.2 LTS or 2.7.7 for mainline. As a workaround, avoid cloning potentially compromised repositories. Уязвимость компонента Branch Name Handler менеджера зависимостей для PHP Composer связана с использованием команды composer install, запущенной внутри репозитория git/hg. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды [NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость активируется при выполнении composer install в репозиториях с вредоносными именами веток. Не запускайте Composer в подозрительных или неизвестных проектах, особенно с внешними зависимостями. Запретите автоматическое выполнение composer install в непроверенных проектах с помозью флага ``` --no-auto-update``` Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix __dst_negative_advice() race __dst_negative_advice() does not enforce proper RCU rules when sk->dst_cache must be cleared, leading to possible UAF. RCU rules are that we must first clear sk->sk_dst_cache, then call dst_release(old_dst). Note that sk_dst_reset(sk) is implementing this protocol correctly, while __dst_negative_advice() uses the wrong order. Given that ip6_negative_advice() has special logic against RTF_CACHE, this means each of the three ->negative_advice() existing methods must perform the sk_dst_reset() themselves. Note the check against NULL dst is centralized in __dst_negative_advice(), there is no need to duplicate it in various callbacks. Many thanks to Clement Lecigne for tracking this issue. This old bug became visible after the blamed commit, using UDP sockets. Уязвимость функции __dst_negative_advice() компонента include/net/sock.h ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Не использовать недоверенные сторонние модули ядра 2. Запускать сетевые сервисы с минимальными привилегиями 3. Разрешать исходящие UDP-соединения только тем серверам и на те порты, которые необходимы для работы системы. Всё остальное блокировать. Принимать входящие UDP-пакеты только от доверенных источников. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: prevent pt_regs corruption for secondary idle threads Top of the kernel thread stack should be reserved for pt_regs. However this is not the case for the idle threads of the secondary boot harts. Their stacks overlap with their pt_regs, so both may get corrupted. Similar issue has been fixed for the primary hart, see c7cdd96eca28 ("riscv: prevent stack corruption by reserving task_pt_regs(p) early"). However that fix was not propagated to the secondary harts. The problem has been noticed in some CPU hotplug tests with V enabled. The function smp_callin stored several registers on stack, corrupting top of pt_regs structure including status field. As a result, kernel attempted to save or restore inexistent V context. Уязвимость функций sbi_cpu_start() в модуле arch/riscv/kernel/cpu_ops_sbi.c и cpu_update_secondary_bootdata() в модуле arch/riscv/kernel/cpu_ops_spinwait.c ядра операционной системы Linux на процессорах с архитектурой RISC-V связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-mapping: benchmark: handle NUMA_NO_NODE correctly cpumask_of_node() can be called for NUMA_NO_NODE inside do_map_benchmark() resulting in the following sanitizer report: UBSAN: array-index-out-of-bounds in ./arch/x86/include/asm/topology.h:72:28 index -1 is out of range for type 'cpumask [64][1]' CPU: 1 PID: 990 Comm: dma_map_benchma Not tainted 6.9.0-rc6 #29 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996) Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117) ubsan_epilogue (lib/ubsan.c:232) __ubsan_handle_out_of_bounds (lib/ubsan.c:429) cpumask_of_node (arch/x86/include/asm/topology.h:72) [inline] do_map_benchmark (kernel/dma/map_benchmark.c:104) map_benchmark_ioctl (kernel/dma/map_benchmark.c:246) full_proxy_unlocked_ioctl (fs/debugfs/file.c:333) __x64_sys_ioctl (fs/ioctl.c:890) do_syscall_64 (arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Use cpumask_of_node() in place when binding a kernel thread to a cpuset of a particular node. Note that the provided node id is checked inside map_benchmark_ioctl(). It's just a NUMA_NO_NODE case which is not handled properly later. Found by Linux Verification Center (linuxtesting.org). Уязвимость функции do_map_benchmark() в модуле kernel/dma/map_benchmark.c ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 exim4 Exim through 4.97.1 misparses a multiline RFC 2231 header filename, and thus remote attackers can bypass a $mime_filename extension-blocking protection mechanism, and potentially deliver executable attachments to the mailboxes of end users. Уязвимость компонента Multiline RFC 2231 почтового сервера Exim связана с недостатками ограничений загрузки файлов опасного типа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности путем внедрения специально сформированных исполняемых файлов [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска exim4 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 qemu A flaw was found in the QEMU disk image utility (qemu-img) 'info' command. A specially crafted image file containing a `json:{}` value describing block devices in QMP could cause the qemu-img process on the host to consume large amounts of memory or CPU time, leading to denial of service or read/write to an existing external file. Уязвимость команды info эмулятора аппаратного обеспечения QEMU связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла изображения [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 openssl Issue summary: Calling the OpenSSL API function SSL_free_buffers may cause memory to be accessed that was previously freed in some situations Impact summary: A use after free can have a range of potential consequences such as the corruption of valid data, crashes or execution of arbitrary code. However, only applications that directly call the SSL_free_buffers function are affected by this issue. Applications that do not call this function are not vulnerable. Our investigations indicate that this function is rarely used by applications. The SSL_free_buffers function is used to free the internal OpenSSL buffer used when processing an incoming record from the network. The call is only expected to succeed if the buffer is not currently in use. However, two scenarios have been identified where the buffer is freed even when still in use. The first scenario occurs where a record header has been received from the network and processed by OpenSSL, but the full record body has not yet arrived. In this case calling SSL_free_buffers will succeed even though a record has only been partially processed and the buffer is still in use. The second scenario occurs where a full record containing application data has been received and processed by OpenSSL but the application has only read part of this data. Again a call to SSL_free_buffers will succeed even though the buffer is still in use. While these scenarios could occur accidentally during normal operation a malicious attacker could attempt to engineer a stituation where this occurs. We are not aware of this issue being actively exploited. The FIPS modules in 3.3, 3.2, 3.1 and 3.0 are not affected by this issue. Уязвимость функции SSL_free_buffers() криптографической библиотеки OpenSSL связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libarchive execute_filter_audio in archive_read_support_format_rar.c in libarchive before 3.7.5 allows out-of-bounds access via a crafted archive file because src can move beyond dst. Уязвимость функции execute_filter_audio компонента archive_read_support_format_rar.c библиотеки архивирования Libarchive связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла архива [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) - Отказаться от использования библиотеки libarchive - В случае использования библиотеки libarchive распаковывать архивы только из надежных источников, избегать распаковки архивов, полученных из неизвестных или подозрительных источников - Запускать ПО, использующее библиотеку libarchive, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку libarchive, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 libarchive execute_filter_delta in archive_read_support_format_rar.c in libarchive before 3.7.5 allows out-of-bounds access via a crafted archive file because src can move beyond dst. [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libarchive: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с обрабатываемыми данными, включая права администраторов. - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2 с блокировкой интерпретаторов. - Ограничить редактирование конфигурационных файлов libarchive исключительно группой root. Astra Linux 1.8 firefox, thunderbird If a garbage collection was triggered at the right time, a use-after-free could have occurred during object transplant. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость почтового клиента Thunderbird, веб-браузеров Firefox и Firefox ESR связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 firefox In addition to detecting when a user was taking a screenshot (XXX), a website was able to overlay the 'My Shots' button that appeared, and direct the user to a replica Firefox Screenshots page that could be used for phishing. This vulnerability affects Firefox < 127. Уязвимость страницы создания скриншотов веб-браузера Firefox связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird By monitoring the time certain operations take, an attacker could have guessed which external protocol handlers were functional on a user's system. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием скрытых побочных каналов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird By tricking the browser with a `X-Frame-Options` header, a sandboxed iframe could have presented a button that, if clicked by a user, would bypass restrictions to open a new window. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти ограничения безопасности и провести атаку типа clickjacking («захват клика») [NistCWE(cwe='CWE-693')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:N/I:L/A:N', score=4.7) Astra Linux 1.8 firefox, thunderbird Offscreen Canvas did not properly track cross-origin tainting, which could be used to access image data from another site in violation of same-origin policy. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость интерфейса OffscreenCanvas веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с включением функциональности из ненадежной управляющей сферы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox An attacker could have caused a use-after-free in the JavaScript engine to read memory in the JavaScript string section of the heap. This vulnerability affects Firefox < 127. Уязвимость движка JavaScript веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If an out-of-memory condition occurs at a specific point using allocations in the probabilistic heap checker, an assertion could have been triggered, and in rarer situations, memory corruption could have occurred. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird By manipulating the text in an `&lt;input&gt;` tag, an attacker could have caused corrupt memory leading to a potentially exploitable crash. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:H', score=8.6) Astra Linux 1.8 firefox A website was able to detect when a user took a screenshot of a page using the built-in Screenshot functionality in Firefox. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox By manipulating the fullscreen feature while opening a data-list, an attacker could have overlaid a text box over the address bar. This could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox In violation of spec, cookie prefixes such as `__Secure` were being ignored if they were not correctly capitalized - by spec they should be checked with a case-insensitive comparison. This could have resulted in the browser not correctly honoring the behaviors specified by the prefix. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с недостаточной проверкой регистра. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-178')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 126, Firefox ESR 115.11, and Thunderbird 115.11. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 127, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с доступом к ячейке памяти до начала буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-786')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 126. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 127. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Memory corruption in the networking stack could have led to a potentially exploitable crash. This vulnerability affects Firefox < 125, Firefox ESR < 115.12, and Thunderbird < 115.12. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Dawn in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Tab Groups in Google Chrome prior to 126.0.6478.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Tab Groups браузеров Microsoft Edge и Google Chrome связана с переполнением буфера в «куче». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate Implementation in DevTools in Google Chrome prior to 126.0.6478.54 allowed an attacker who convinced a user to install a malicious extension to execute arbitrary code via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость набора инструментов для веб-разработки DevTools браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, скомпрометировать систему с помощью специально созданного расширение Chrome [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с доступом к ресурсу через несовместимые типы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в целевой системе с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate Implementation in Memory Allocator in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Memory Allocator браузеров Microsoft Edge и Google Chrome связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Policy bypass in CORS in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to bypass discretionary access control via a crafted HTML page. (Chromium security severity: Medium) Уязвимость реализации механизма CORS браузеров Microsoft Edge и Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности и раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Browser UI in Google Chrome prior to 126.0.6478.54 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость интерфейса Browser UI браузеров Microsoft Edge и Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию с помощью специально созданной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Downloads in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to obfuscate security UI via a malicious file. (Chromium security severity: Medium) Уязвимость компонента Downloads веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного вредоносного файла [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Tab Strip in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to perform an out of bounds memory read via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tab Strip веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента Audio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in PDFium in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially exploit heap corruption via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданного PDF файла [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAssembly веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in Dawn in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.114 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Swiftshader in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Swiftshader веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 openssh A security regression (CVE-2006-5051) was discovered in OpenSSH's server (sshd). There is a race condition which can lead sshd to handle some signals in an unsafe manner. An unauthenticated, remote attacker may be able to trigger it by failing to authenticate within a set time period. Уязвимость сервера средства криптографической защиты OpenSSH связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с root-привилегиями [NistCWE(cwe='CWE-364'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл `/etc/ssh/sshd_config`. 2. Добавить или отредактировать в файле строку, содержащую параметр **LoginGraceTime** и время, отведенное на аутентификацию: `LoginGraceTime 0`. 3. Выполнить перезапуск службы **sshd**: `sudo systemctl restart sshd`. Данное решение нейтрализует угрозу эксплуатации уязвимости [CVE-2024-6387](https://nvd.nist.gov/vuln/detail/CVE-2024-6387), но упрощает инициирование отказа в обслуживании при установке большого числа соединений, превышающих лимиты, заданные через параметр **MaxStartups**. Astra Linux 1.8 firefox, thunderbird A race condition could lead to a cross-origin container obtaining permissions of the top-level origin. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с возникающим состоянием гонки. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:L/I:L/A:L', score=4.7) Astra Linux 1.8 firefox, thunderbird, nss A mismatch between allocator and deallocator could have led to memory corruption. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с неправильным ограничением операций в пределах буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать влияние на работу системы [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимости для ПО Thunderbird необходимо выполнить одно из следующих требований: - удалить ПО Thunderbird, если оно не используется; - отказаться от использования ПО Thunderbird в пользу ПО Evolution; - обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail. Astra Linux 1.8 firefox, thunderbird In an out-of-memory scenario an allocation could fail but free would have been called on the pointer afterwards leading to memory corruption. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-823')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:N', score=7.4) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 127, Firefox ESR 115.12, and Thunderbird 115.12. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Clipboard code failed to check the index on an array access. This could have led to an out-of-bounds read. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента буфера обмена веб-браузера Firefox связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:N/A:L', score=8.2) Astra Linux 1.8 firefox It was possible to prevent a user from exiting pointerlock when pressing escape and to overlay customValidity notifications from a `&lt;select&gt;` element over certain permission prompts. This could be used to confuse a user into giving a site unintended permissions. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с освобождением неверного указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-763')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox It was possible to move the cursor using pointerlock from an iframe. This allowed moving the cursor outside of the viewport and the Firefox window. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с небезопасным внешним контролем за критическими данными состояния. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, nss When almost out-of-memory an elliptic curve key which was never allocated could have been freed again. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость набора библиотек разработки приложений NSS веб-браузера Firefox и почтового клиента Thunderbird связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо выполнить одно из следующих требований: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Form validation popups could capture escape key presses. Therefore, spamming form validation messages could be used to prevent users from exiting full-screen mode. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Form Validation Popup Handler веб-браузера Firefox связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A nested iframe, triggering a cross-site navigation, could send SameSite=Strict or Lax cookies. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Nested iFrame Handler веб-браузера Firefox связана с неправильным атрибутом SameSite в файле cookie. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1275')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox CSP violations generated links in the console tab of the developer tools, pointing to the violating resource. This caused a DNS prefetch which leaked that a CSP violation happened. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость консоли набора инструментов для веб-разработки DevTools веб-браузера Firefox связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The frame iterator could get stuck in a loop when encountering certain wasm frames leading to incorrect stack traces. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-209')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The frame iterator could get stuck in a loop when encountering certain wasm frames leading to incorrect stack traces. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость компонента Frame Iterator веб-браузера Firefox связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 127 and Thunderbird 127. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 128 and Thunderbird < 128. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.54 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: Low) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 qemu A flaw was found in the QEMU NBD Server. This vulnerability allows a denial of service (DoS) attack via improper synchronization during socket closure when a client keeps a socket open as the server is taken offline. Уязвимость эмулятора аппаратного обеспечения QEMU связана с ошибками синхронизации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-662')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) qemu: - Запускайте QEMU с минимально необходимыми привилегиями. Избегайте запуска QEMU от имени суперпользователя - Используйте виртуальные сети для изоляции трафика виртуальных машин от хост-системы и других сетей - Настройте брандмауэр для ограничения входящих и исходящих соединений, связанных с виртуальными машинами - Установите лимиты на использование CPU, памяти и других ресурсов для каждой виртуальной машины - Создайте отдельного пользователя и группу для управления QEMU, чтобы ограничить доступ к системным ресурсам - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 firefox, thunderbird An error in the ECMA-262 specification relating to Async Generators could have resulted in a type confusion, potentially leading to memory corruption and an exploitable crash. This vulnerability affects Firefox < 128, Firefox ESR < 115.13, Thunderbird < 115.13, and Thunderbird < 128. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 chromium Type confusion in WebAssembly in Google Chrome prior to 126.0.6478.126 allowed a remote attacker to execute arbitrary code via a crafted HTML page. (Chromium security severity: High) Уязвимость модуля WebAssembly веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 parsec Уязвимость утилиты pdp-ls подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:P AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L Astra Linux 1.8 parsec Уязвимость утилиты sumac подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:N/C:N/I:N/A:C AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 parsec Уязвимость утилиты pdp-id подсистемы безопасности PARSEC связана с некорректным освобождением памяти после завершения её использования. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании CWE-401 AV:L/AC:L/Au:S/C:N/I:N/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H Astra Linux 1.8 gsl A buffer overflow can occur when calculating the quantile value using the Statistics Library of GSL (GNU Scientific Library), versions 2.5 and 2.6. Processing a maliciously crafted input data for gsl_stats_quantile_from_sorted_data of the library may lead to unexpected application termination or arbitrary code execution. Уязвимость математической библиотеки GSL связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) gsl: - Отказаться от использования ПО gsl в пользу ПО armadillo, ПО boost-defaults или ПО eigen3 - При использовании ПО gsl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска gsl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 tidy-html5 An issue in HTACG HTML Tidy v5.7.28 allows attacker to execute arbitrary code via the -g option of the CleanNode() function in gdoc.c. Уязвимость функции CleanNode() компонента gdoc.c инструмента форматирования кода HTML Tidy связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 p7zip 7-Zip 22.01 does not report an error for certain invalid xz files, involving block flags and reserved bits. Some later versions are unaffected. Уязвимость архиватора P7-Zip, файлового архиватора 7-Zip связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=2.5) - Запускайте ПО 7zip, p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам ПО 7zip, p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте архивы только из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. - При работе с xz-файлами отказаться от использования ПО 7zip, p7zip в пользу ПО xz-utils. Astra Linux 1.8 p7zip 7-Zip 22.01 does not report an error for certain invalid xz files, involving stream flags and reserved bits. Some later versions are unaffected. Уязвимость файлового архиватора 7-Zip, архиватора P7-Zip связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=2.5) - Запускайте ПО 7zip, p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам ПО 7zip, p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте архивы только из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. - При работе с xz-файлами отказаться от использования ПО 7zip, p7zip в пользу ПО xz-utils. Astra Linux 1.8 cloud-init Sensitive data could be exposed in logs of cloud-init before version 23.1.2. An attacker could use this information to find hashed passwords and possibly escalate their privilege. Уязвимость инструмента для настройки облачного сервера Cloud-init связана с недостаточной защитой регистрационных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-532'), NistCWE(cwe='CWE-532')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) Astra Linux 1.8 python3.11 The email module of Python through 3.11.3 incorrectly parses e-mail addresses that contain a special character. The wrong portion of an RFC2822 header is identified as the value of the addr-spec. In some applications, an attacker can bypass a protection mechanism in which application access is granted only after verifying receipt of e-mail to a specific domain (e.g., only @company.example.com addresses may be used for signup). This occurs in email/_parseaddr.py in recent versions of Python. Уязвимость модуля E-mail интерпретатора языка программирования Python связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 bluez BlueZ Audio Profile AVRCP Improper Validation of Array Index Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code via Bluetooth on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious device. The specific flaw exists within the handling of the AVRCP protocol. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-19908. Уязвимость реализации протокола AVRCP стека технологии Bluetooth для Linux BlueZ связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 python-tornado Open redirect vulnerability in Tornado versions 6.3.1 and earlier allows a remote unauthenticated attacker to redirect a user to an arbitrary web site and conduct a phishing attack by having user access a specially crafted URL. Уязвимость веб-фреймворка Python Tornado связана с использованием открытой переадресации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданного URL-адреса [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-601')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) - Не использовать подверженный уязвимости модуль web и, в частности, класс StaticFileHandler; - Использовать ПО python-tornado только на низком или отдельно выделенном уровне целостности; - Обеспечить возможность запуска python-tornado только доверенными пользователями ОС; - При использовании ПО python-tornado выполнять обработку только файлов и ссылок, полученных из доверенных источников; - Активировать режим Киоск-2 для непривилегированных пользователей системы; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 libheif A Segmentation fault caused by a floating point exception exists in libheif 1.15.1 using crafted heif images via the heif::Fraction::round() function in box.cc, which causes a denial of service. Уязвимость функции heif::Fraction::round() компонента box.cc библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного heif изображения [NistCWE(cwe='CWE-369'), NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 nodejs When an invalid public key is used to create an x509 certificate using the crypto.X509Certificate() API a non-expect termination occurs making it susceptible to DoS attacks when the attacker could force interruptions of application processing, as the process terminates when accessing public key info of provided certificates from user code. The current context of the users will be gone, and that will cause a DoS scenario. This vulnerability affects all active Node.js versions v16, v18, and, v20. Уязвимость программной платформы Node.js связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 p7zip Ppmd7.c in 7-Zip before 23.00 allows an integer underflow and invalid read operation via a crafted 7Z archive. [NistCWE(cwe='CWE-191'), NistCWE(cwe='CWE-191')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 python3.11 An issue was discovered in Python before 3.8.18, 3.9.x before 3.9.18, 3.10.x before 3.10.13, and 3.11.x before 3.11.5. It primarily affects servers (such as HTTP servers) that use TLS client authentication. If a TLS server-side socket is created, receives data into the socket buffer, and then is closed quickly, there is a brief window where the SSLSocket instance will detect the socket as "not connected" and won't initiate a handshake, but buffered data will still be readable from the socket buffer. This data will not be authenticated if the server-side TLS peer is expecting client certificate authentication, and is indistinguishable from valid TLS stream data. Data is limited in size to the amount that will fit in the buffer. (The TLS connection cannot directly be used for data exfiltration because the vulnerable code path requires that the connection be closed on initialization of the SSLSocket.) Уязвимость класса SSLSocket интерпретатора языка программирования Python связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 p7zip 7-Zip SquashFS File Parsing Out-Of-Bounds Write Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the parsing of SQFS files. The issue results from the lack of proper validation of user-supplied data, which can result in a write past the end of an allocated buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-18589. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libpod, erlang, paramiko The SSH transport protocol with certain OpenSSH extensions, found in OpenSSH before 9.6 and other products, allows remote attackers to bypass integrity checks such that some packets are omitted (from the extension negotiation message), and a client and server may consequently end up with a connection for which some security features have been downgraded or disabled, aka a Terrapin attack. This occurs because the SSH Binary Packet Protocol (BPP), implemented by these extensions, mishandles the handshake phase and mishandles use of sequence numbers. For example, there is an effective attack against SSH's use of ChaCha20-Poly1305 (and CBC with Encrypt-then-MAC). The bypass occurs in chacha20-poly1305@openssh.com and (if CBC is used) the -etm@openssh.com MAC algorithms. This also affects Maverick Synergy Java SSH API before 3.1.0-SNAPSHOT, Dropbear through 2022.83, Ssh before 5.1.1 in Erlang/OTP, PuTTY before 0.80, AsyncSSH before 2.14.2, golang.org/x/crypto before 0.17.0, libssh before 0.10.6, libssh2 through 1.11.0, Thorn Tech SFTP Gateway before 3.4.6, Tera Term before 5.1, Paramiko before 3.4.0, jsch before 0.2.15, SFTPGo before 2.5.6, Netgate pfSense Plus through 23.09.1, Netgate pfSense CE through 2.7.2, HPN-SSH through 18.2.0, ProFTPD before 1.3.8b (and before 1.3.9rc2), ORYX CycloneSSH before 2.3.4, NetSarang XShell 7 before Build 0144, CrushFTP before 10.6.0, ConnectBot SSH library before 2.2.22, Apache MINA sshd through 2.11.0, sshj through 0.37.0, TinySSH through 20230101, trilead-ssh2 6401, LANCOM LCOS and LANconfig, FileZilla before 3.66.4, Nova before 11.8, PKIX-SSH before 14.4, SecureCRT before 9.4.3, Transmit5 before 5.10.4, Win32-OpenSSH before 9.5.0.0p1-Beta, WinSCP before 6.2.2, Bitvise SSH Server before 9.32, Bitvise SSH Client before 9.33, KiTTY through 0.76.1.13, the net-ssh gem 7.2.0 for Ruby, the mscdex ssh2 module before 1.15.0 for Node.js, the thrussh library before 0.35.1 for Rust, and the Russh crate before 0.40.2 for Rust. Уязвимость реализации протокола SSH связана с возможностью откорректировать порядковые номера пакетов в процессе согласования соединения и добиться удаления произвольного числа служебных SSH-сообщений. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти проверки целостности, отключить существующие функции безопасности, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-354'), NistCWE(cwe='CWE-354')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:H/A:N', score=5.9) Для нейтрализации угрозы эксплуатации уязвимости CVE-2023-48795 необходимо соблюдать следующие требования: * включить защиту файловой системы ("установить МКЦ на ФС"); * обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; * для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; * запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; * активировать регламентный контроль целостности ОС; * активировать режим замкнутой программной среды; * по возможности запускать прикладное ПО в отдельной сессии. Также для нейтрализации угрозы эксплуатации уязвимости CVE-2023-48795 следует отключить затронутый режим шифрования chacha20-poly1305 и любые варианты encrypt-then-mac (EtM). Для этого необходимо выполнить действия, описанные ниже. Для версии OpenSSH 8.4: 1. Проверить список поддерживаемых алгоритмов защитного преобразования (параметр cipher) и выработки имитовставки (параметр mac) можно командами: ```bash ssh -Q cipher ssh -Q mac ``` 2. В каталоге /etc/ssh/sshd_config.d/ создать файлы ciphers.conf и macs.conf. Файл ciphers.conf со следующим содержимым: ``` Ciphers <алгоритмы> ``` Файл macs.conf со следующим содержимым: ``` MACs <алгоритмы> ``` Здесь <алгоритмы> - это список разрешенных к использованию алгоритмов. В файле ciphers.conf не должно присутствовать алгоритма chacha20-poly1305@openssh.com, в файле macs.conf, не должно присутствовать алгоритмов *-etm@openssh.com. 3. Перезапустить службу sshd: ```bash sudo systemctl restart sshd ``` 4. Для проверки списка алгоритмов, разрешенных к использованию сервером, выполнить команду: ```bash sudo sshd -T | grep ciphers | perl -pe 's/,/\n/g' | sort -u ``` При этом, если у вас открыты текущие SSH сессии, они не будут затронуты при перезапуске SSH демона. Новые настройки будут применены только к новым SSH сессиям. Для версии OpenSSH 7.4: 1. Проверить список поддерживаемых алгоритмов защитного преобразования (параметр cipher) и выработки имитовставки (параметр mac) можно командами: ``` ssh -Q cipher ssh -Q mac ``` 2. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл /etc/ssh/sshd_config. 3. Добавить в файл строку с ключевым словом Ciphers и строку с ключевым словом MACs и перечислить разрешенные к использованию алгоритмы: ``` Ciphers <алгоритмы> MACs <алгоритмы> ``` В строке с ключевым словом Ciphers не должно присутствовать алгоритма chacha20-poly1305@openssh.com, в строке с ключевым словом MACs не должно присутствовать алгоритмов *-etm@openssh.com. 4. Перезапустить службу sshd: ```bash sudo systemctl restart sshd ``` 5. Для проверки списка алгоритмов, разрешенных к использованию сервером, выполнить команду: ```bash sudo sshd -T | grep ciphers | perl -pe 's/,/\n/g' | sort -u ``` При этом, если у вас открыты текущие SSH сессии, они не будут затронуты при перезапуске SSH демона. Новые настройки будут применены только к новым SSH сессиям. **Upd: Mitigation для ПО paramiko ([доп. информация](https://www.paramiko.org/changelog.html))** Для нейтрализации угрозы эксплуатации уязвимости необходимо выполнить одно из следующих требований: 1. Удалить ПО paramiko, если оно не используется и не является зависимостью других пакетов. 2. С помощью параметра disabled_algorithms отключить использование алгоритмов имитовставки вида `*-etm@openssh.com` и/или алгоритмов, реализующих блочные шифры (CBC) вида `*-cbc`. Astra Linux 1.8 bluez BlueZ Phone Book Access Profile Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious Bluetooth device. The specific flaw exists within the handling of the Phone Book Access profile. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-20936. Уязвимость профиля доступа к телефонной книги стека технологии Bluetooth для Linux BlueZ связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 bluez BlueZ Phone Book Access Profile Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of BlueZ. User interaction is required to exploit this vulnerability in that the target must connect to a malicious Bluetooth device. The specific flaw exists within the handling of the Phone Book Access profile. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of root. Was ZDI-CAN-20938. Уязвимость профиля доступа к телефонной книге стека технологии Bluetooth для Linux BlueZ связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:A/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.1) - Выключите Bluetooth - По возможности избегать использования протокола bluetooth и использовать проводную периферию - Избегайте подключения к неизвестным устройствам - Настройте устройство на ручное подтверждение всех подключений: 1. В файле `/etc/bluetooth/main.conf` установите значение `AutoEnable=false` 2. Сохраните изменения в файле 3. Перезагрузите службу Bluetooth `sudo systemctl restart bluetooth` Astra Linux 1.8 jose latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value. Уязвимость компонента p2c Handler пакета реализации стандартов подписания и шифрования объектов Javascript JOSE связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Удалить ПО jose, если оно не используется и не является зависимостью используемых приложений - При использовании ПО jose выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg Buffer Overflow vulnerability in Ffmpeg v.N113007-g8d24a28d06 allows a local attacker to execute arbitrary code via the libavfilter/af_stereowiden.c:120:69. Уязвимость мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 wpa The implementation of PEAP in wpa_supplicant through 2.10 allows authentication bypass. For a successful attack, wpa_supplicant must be configured to not verify the network's TLS certificate during Phase 1 authentication, and an eap_peap_decrypt vulnerability can then be abused to skip Phase 2 authentication. The attack vector is sending an EAP-TLV Success packet instead of starting Phase 2. This allows an adversary to impersonate Enterprise Wi-Fi networks. Уязвимость реализации протокола PEAP (Protected Extensible Authentication Protocol) клиента защищённого доступа Wi-Fi WPA Supplicant вызвана недостатками процедуры авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, перехватить незашифрованный транзитный трафик пользователя путем создания клона сети, к которой пользователь подключается [NistCWE(cwe='CWE-287'), NistCWE(cwe='CWE-287')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) - Убедиться, что ПО wpa настроено корректно; - Отключить по возможности беспроводные системы передачи данных (WiFi, Bluetooth); - При необходимости использования WiFi - использовать для защиты данных сети VPN. Astra Linux 1.8 p7zip The NtfsHandler.cpp NTFS handler in 7-Zip before 24.01 (for 7zz) contains a heap-based buffer overflow that allows an attacker to overwrite two bytes at multiple offsets beyond the allocated buffer size: buffer+512*i-2, for i=9, i=10, i=11, etc. Уязвимость обработчика NTFS файла NtfsHandler.cpp архиватора 7-Zip связана с возможностью переполнения буфера на основе кучи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: - Запускайте ПО p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется - Настройте права доступа к исполняемым файлам ПО p7zip так, чтобы их могли изменять только администраторы системы - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников Astra Linux 1.8 ntfs-3g NTFS-3G before 75dcdc2 has a use-after-free in ntfs_uppercase_mbs in libntfs-3g/unistr.c. NOTE: discussion suggests that exploitation would be challenging. Уязвимость функции ntfs_uppercase_mbs() компонента libntfs-3g/unistr.c драйвера файловой системы NTFS для модуля FUSE NTFS-3G связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:L', score=4.5) Astra Linux 1.8 freeipa A Cross-site request forgery vulnerability exists in ipa/session/login_password in all supported versions of IPA. This flaw allows an attacker to trick the user into submitting a request that could perform actions as the user, resulting in a loss of confidentiality and system integrity. During community penetration testing it was found that for certain HTTP end-points FreeIPA does not ensure CSRF protection. Due to implementation details one cannot use this flaw for reflection of a cookie representing already logged-in user. An attacker would always have to go through a new authentication attempt. Уязвимость компонента session/login_password программного обеспечения централизованного управления идентификацией FreeIPA связана с подделкой межсайтовых запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-352'), NistCWE(cwe='CWE-352')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 python3.11 A defect was discovered in the Python “ssl” module where there is a memory race condition with the ssl.SSLContext methods “cert_store_stats()” and “get_ca_certs()”. The race condition can be triggered if the methods are called at the same time as certificates are loaded into the SSLContext, such as during the TLS handshake with a certificate directory configured. This issue is fixed in CPython 3.10.14, 3.11.9, 3.12.3, and 3.13.0a5. Уязвимость функций cert_store_stats() и get_ca_certs() модуля ssl интерпретатора языка программирования Python (CPython) связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.4) - Вместо python2.7 использовать python3.7; - При использовании ПО python и php выполнять обработку файлов, полученных только из доверенных источников; - Запускать ПО в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 python3.11 An issue was found in the CPython `zipfile` module affecting versions 3.12.1, 3.11.7, 3.10.13, 3.9.18, and 3.8.18 and prior. The zipfile module is vulnerable to “quoted-overlap” zip-bombs which exploit the zip format to create a zip-bomb with a high compression ratio. The fixed versions of CPython makes the zipfile module reject zip archives which overlap entries in the archive. Уязвимость модуля zipfile интерпретатора языка программирования Python связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента расширения веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость CVE-2024-10230 связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 130.0.6723.69 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Уязвимость связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 firefox, thunderbird A permission leak could have occurred from a trusted site to an untrusted site via `embed` or `object` elements. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird An attacker could have caused a use-after-free when accessibility was enabled, leading to a potentially exploitable crash. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird The origin of an external protocol handler prompt could have been obscured using a data: URL within an `iframe`. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird In multipart/x-mixed-replace responses, `Content-Disposition: attachment` in the response header was not respected and did not force a download, which could allow XSS attacks. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird Truncation of a long URL could have allowed origin spoofing in a permission prompt. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Video frames could have been leaked between origins in some situations. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Firefox ESR < 115.17, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Repeated writes to history interface attributes could have been used to cause a Denial of Service condition in the browser. This was addressed by introducing rate-limiting to this API. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 firefox, thunderbird A clipboard "paste" button could persist across tabs which allowed a spoofing attack. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird By sending a specially crafted push message, a remote server could have hung the parent process, causing the browser to become unresponsive. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры SQL-запроса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 131, Firefox ESR 128.3, and Thunderbird 128.3. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 132, Firefox ESR < 128.4, Thunderbird < 128.4, and Thunderbird < 132. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Potential race conditions in IndexedDB could have caused memory corruption, leading to a potentially exploitable crash. This vulnerability affects Firefox < 132 and Thunderbird < 132. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in Dawn in Google Chrome prior to 130.0.6723.92 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Critical) Уязвимость компонента Dawn веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebRTC in Google Chrome prior to 130.0.6723.92 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии WebRTC веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 postgresql-15 Incomplete tracking in PostgreSQL of tables with row security allows a reused query to view or change different rows from those intended. CVE-2023-2455 and CVE-2016-2193 fixed most interaction between row security and user ID changes. They missed cases where a subquery, WITH query, security invoker view, or SQL-language function references a table with a row-level security policy. This has the same consequences as the two earlier CVEs. That is to say, it leads to potentially incorrect policies being applied in cases where role-specific policies are used and a given query is planned under one role and then executed under other roles. This scenario can happen under security definer functions or when a common user and query is planned initially and then re-used across multiple SET ROLEs. Applying an incorrect policy may permit a user to complete otherwise-forbidden reads and modifications. This affects only databases that have used CREATE POLICY to define a row security policy. An attacker must tailor an attack to a particular application's pattern of query plan reuse, user ID changes, and role-specific row security policies. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость политики безопасности таблиц с защитой строк CREATE POLICY системы управления базами данных PostgreSQL связана с отсутствием согласованности между независимыми представлениями общего состояния. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды путем повторного использования запроса в нескольких SET ROLE [NistCWE(cwe='CWE-1250')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.2) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Client use of server error message in PostgreSQL allows a server not trusted under current SSL or GSS settings to furnish arbitrary non-NUL bytes to the libpq application. For example, a man-in-the-middle attacker could send a long error message that a human or screen-scraper user of psql mistakes for valid query results. This is probably not a concern for clients where the user interface unambiguously indicates the boundary between one error message and other text. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость компонента libpq системы управления базами данных PostgreSQL связана с использованием ненадежного источника данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти существующие ограничения безопасности и выполнить атаку типа «человек посередине» [NistCWE(cwe='CWE-348'), NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Incorrect privilege assignment in PostgreSQL allows a less-privileged application user to view or change different rows from those intended. An attack requires the application to use SET ROLE, SET SESSION AUTHORIZATION, or an equivalent feature. The problem arises when an application query uses parameters from the attacker or conveys query results to the attacker. If that query reacts to current_setting('role') or the current user ID, it may modify or return data as though the session had not used SET ROLE or SET SESSION AUTHORIZATION. The attacker does not control which incorrect user ID applies. Query text from less-privileged sources is not a concern here, because SET ROLE and SET SESSION AUTHORIZATION are not sandboxes for unvetted queries. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость команд SET ROLE, SET SESSION системы управления базами данных PostgreSQL связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии и получить доступ к защищаемой информации [NistCWE(cwe='CWE-266')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.2) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 postgresql-15 Incorrect control of environment variables in PostgreSQL PL/Perl allows an unprivileged database user to change sensitive process environment variables (e.g. PATH). That often suffices to enable arbitrary code execution, even if the attacker lacks a database server operating system user. Versions before PostgreSQL 17.1, 16.5, 15.9, 14.14, 13.17, and 12.21 are affected. Уязвимость переменных среды PL/Perl системы управления базами данных PostgreSQL связана с ошибками в настройках системы или конфигурации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём изменения переменных среды (например, PATH) [NistCWE(cwe='CWE-15'), NistCWE(cwe='CWE-610')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо: - Запретить непривилегированным пользователям создавать и выполнять PL/Perl функции - Ограничить возможность модификации переменных окружения через конфигурацию PostgreSQL Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, passes unsanitized data to a library (Modules::ScanDeps) which expects safe input. This could allow a local attacker to execute arbitrary shell commands. Please see the related CVE-2024-10224 in Modules::ScanDeps. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-78')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 p7zip 7-Zip CopyCoder Infinite Loop Denial-of-Service Vulnerability. This vulnerability allows remote attackers to create a denial-of-service condition on affected installations of 7-Zip. Interaction with this library is required to exploit this vulnerability but attack vectors may vary depending on the implementation. The specific flaw exists within the processing of streams. The issue results from a logic error that can lead to an infinite loop. An attacker can leverage this vulnerability to create a denial-of-service condition on the system. Was ZDI-CAN-24307. Уязвимость компонента CopyCoder архиватора 7-Zip связана с недостаточным выделением памяти для операции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal') vulnerability in The Document Foundation LibreOffice allows Absolute Path Traversal. An attacker can write to arbitrary locations, albeit suffixed with ".ttf", by supplying a file in a format that supports embedded font files. This issue affects LibreOffice: from 24.8 before < 24.8.4. Уязвимость пакета офисных программ LibreOffice связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.3) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 chromium Inappropriate implementation in Fullscreen in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Fullscreen веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 curl When a protocol selection parameter option disables all protocols without adding any then the default set of protocols would remain in the allowed set due to an error in the logic for removing protocols. The below command would perform a request to curl.se with a plaintext protocol which has been explicitly disabled. curl --proto -all,-http http://curl.se The flaw is only present if the set of selected protocols disables the entire set of available protocols, in itself a command with no practical use and therefore unlikely to be encountered in real situations. The curl security team has thus assessed this to be low severity bug. Уязвимость программного средства для взаимодействия с серверами CURL связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-436')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:R/S:U/C:L/I:N/A:N', score=3.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. Special placeholders in the template allow writing code similar to Python syntax. It is possible to inject arbitrary HTML attributes into the rendered HTML template, potentially leading to Cross-Site Scripting (XSS). The Jinja `xmlattr` filter can be abused to inject arbitrary HTML attribute keys and values, bypassing the auto escaping mechanism and potentially leading to XSS. It may also be possible to bypass attribute validation checks if they are blacklist-based. Уязвимость фильтра xmlattr шаблонизатора для языка программирования Python Jinja связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dovecot Having a large number of address headers (From, To, Cc, Bcc, etc.) becomes excessively CPU intensive. With 100k header lines CPU usage is already 12 seconds, and in a production environment we observed 500k header lines taking 18 minutes to parse. Since this can be triggered by external actors sending emails to a victim, this is a security issue. An external attacker can send specially crafted messages that consume target system resources and cause outage. One can implement restrictions on address headers on MTA component preceding Dovecot. No publicly available exploits are known. Уязвимость компонента Address Header Handler почтового сервера Dovecot связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:N/I:L/A:N', score=5.0) dovecot: - Выполните настройку конфигурационных файлов от имени администратора системы с высоким уровнем целостности. - В файле конфигурации /etc/dovecot/dovecot.conf: - Пропишите явно используемые протоколы, например: ``` protocols = imap lmtp ``` - Рекомендуется скрыть баннер Dovecot, чтобы затруднить автоматический сбор версий: ``` login_greeting = IMAP server is ready. ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Отключите устаревшие протоколы: ``` ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1 ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Явно укажите список стойких шифров, например: ``` ssl_cipher_list = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305 ssl_prefer_server_ciphers = yes ``` - Увеличьте длину ключей DH: ``` ssl_dh_length = 2048 ``` - В файле конфигурации /etc/dovecot/conf.d/10-master.conf: - Убедитесь, что сервисы логина и исполнения работают от отдельных непривилегированных пользователей: ``` default_internal_user = dovecot default_login_user = dovenull ``` - Файлы ключей SSL должны быть доступны только для root: ``` chmod 400 /etc/dovecot/private/ssl_key.pem chown root:root /etc/dovecot/private/ssl_key.pem ``` Astra Linux 1.8 dovecot Very large headers can cause resource exhaustion when parsing message. The message-parser normally reads reasonably sized chunks of the message. However, when it feeds them to message-header-parser, it starts building up "full_value" buffer out of the smaller chunks. The full_value buffer has no size limit, so large headers can cause large memory usage. It doesn't matter whether it's a single long header line, or a single header split into multiple lines. This bug exists in all Dovecot versions. Incoming mails typically have some size limits set by MTA, so even largest possible header size may still fit into Dovecot's vsz_limit. So attackers probably can't DoS a victim user this way. A user could APPEND larger mails though, allowing them to DoS themselves (although maybe cause some memory issues for the backend in general). One can implement restrictions on headers on MTA component preceding Dovecot. No publicly available exploits are known. Уязвимость почтового сервера Dovecot связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) dovecot: - Выполните настройку конфигурационных файлов от имени администратора системы с высоким уровнем целостности. - В файле конфигурации /etc/dovecot/dovecot.conf: - Пропишите явно используемые протоколы, например: ``` protocols = imap lmtp ``` - Рекомендуется скрыть баннер Dovecot, чтобы затруднить автоматический сбор версий: ``` login_greeting = IMAP server is ready. ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Отключите устаревшие протоколы: ``` ssl_protocols = !SSLv2 !SSLv3 !TLSv1 !TLSv1.1 ``` - В файле конфигурации /etc/dovecot/conf.d/10-ssl.conf: - Явно укажите список стойких шифров, например: ``` ssl_cipher_list = ECDHE-ECDSA-AES128-GCM-SHA256:ECDHE-RSA-AES128-GCM-SHA256:ECDHE-ECDSA-AES256-GCM-SHA384:ECDHE-RSA-AES256-GCM-SHA384:ECDHE-ECDSA-CHACHA20-POLY1305:ECDHE-RSA-CHACHA20-POLY1305:DHE-RSA-AES128-GCM-SHA256:DHE-RSA-AES256-GCM-SHA384:DHE-RSA-CHACHA20-POLY1305 ssl_prefer_server_ciphers = yes ``` - Увеличьте длину ключей DH: ``` ssl_dh_length = 2048 ``` - В файле конфигурации /etc/dovecot/conf.d/10-master.conf: - Убедитесь, что сервисы логина и исполнения работают от отдельных непривилегированных пользователей: ``` default_internal_user = dovecot default_login_user = dovenull ``` - Файлы ключей SSL должны быть доступны только для root: ``` chmod 400 /etc/dovecot/private/ssl_key.pem chown root:root /etc/dovecot/private/ssl_key.pem ``` Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. A malicious BuildKit client or frontend could craft a request that could lead to BuildKit daemon crashing with a panic. The issue has been fixed in v0.12.5. As a workaround, avoid using BuildKit frontends from untrusted sources. [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. Two malicious build steps running in parallel sharing the same cache mounts with subpaths could cause a race condition that can lead to files from the host system being accessible to the build container. The issue has been fixed in v0.12.5. Workarounds include, avoiding using BuildKit frontend from an untrusted source or building an untrusted Dockerfile containing cache mounts with --mount=type=cache,source=... options. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:N', score=8.7) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. A malicious BuildKit frontend or Dockerfile using RUN --mount could trick the feature that removes empty files created for the mountpoints into removing a file outside the container, from the host system. The issue has been fixed in v0.12.5. Workarounds include avoiding using BuildKit frontends from an untrusted source or building an untrusted Dockerfile containing RUN --mount feature. [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:H', score=10.0) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libpod BuildKit is a toolkit for converting source code to build artifacts in an efficient, expressive and repeatable manner. In addition to running containers as build steps, BuildKit also provides APIs for running interactive containers based on built images. It was possible to use these APIs to ask BuildKit to run a container with elevated privileges. Normally, running such containers is only allowed if special `security.insecure` entitlement is enabled both by buildkitd configuration and allowed by the user initializing the build request. The issue has been fixed in v0.12.5 . Avoid using BuildKit frontends from untrusted sources. [NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) libpod: - Не запускайте контейнеры с опцией --privileged для отключения расширенных привилегий, которые могут быть включены по умолчанию - Запретить монтирование корневой файловой системы хоста внутри контейнеров для всех пользователей - Запретить монтирование системных директорий, таких как /proc и /sys, внутри контейнеров для всех пользователей - При запуске контейнера используйте опцию --cap-drop=ALL для отключения всех привилегий (capabilities), которые могут быть включены по умолчанию - При запуске контейнера используйте опцию --security-opt=no-new-privileges для предотвращения эскалации привилегий - При запуске контейнера ограничьте использование системных ресурсов (память, CPU, файловые дескрипторы, процессы, перезапуски) - Запускайте контейнер с корневой файловой системой в режиме только для чтения с помощью опции --read-only, например: ` podman run --read-only --rm <image_name> ` - Подключайте тома в режиме только для чтения с помощью параметра readonly, например: ` podman run --mount type=volume,source=<volume_name>,target=/data,readonly --rm <image_name> ` - По возможности используйте rootless контейнеры, которые работают без привилегий суперпользователя - Запускайте контейнеры от имени пользователей с минимально необходимыми правами - Поддерживайте образы контейнеров и сам Podman в актуальном состоянии для защиты от известных уязвимостей - Загружайте образы только из надежных реестров и проверяйте их подлинность - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. - Отключить и удалить неиспользуемые учётные записи пользователей - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) libpodofo: - Отказаться от использования библиотеки libpodofo - При использовании ПО, использующего библиотеку libpodofo, выполнять обработку файлов, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libpodofo, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку libpodofo, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 curl When an application tells libcurl it wants to allow HTTP/2 server push, and the amount of received headers for the push surpasses the maximum allowed limit (1000), libcurl aborts the server push. When aborting, libcurl inadvertently does not free all the previously allocated headers and instead leaks the memory. Further, this error condition fails silently and is therefore not easily detected by an application. Уязвимость реализации сетевого протокола HTTP/2 утилиты командной строки cURL связана с ошибками освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-772')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:L', score=8.6) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 texlive-bin texlive-bin commit c515e was discovered to contain heap buffer overflow via the function ttfLoadHDMX:ttfdump. This vulnerability allows attackers to cause a Denial of Service (DoS) via supplying a crafted TTF file. Уязвимость функции ttfLoadHDMX:ttfdump системы компьютерной верстки TeX Live связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного TTF файла [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:H', score=8.1) - При использовании ПО texlive-bin выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска texlive-bin только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 krb5 Kerberos 5 (aka krb5) 1.21.2 contains a memory leak vulnerability in /krb5/src/lib/gssapi/krb5/k5sealv3.c. Уязвимость компонента /krb5/src/lib/gssapi/krb5/k5sealv3.c сетевого протокола аутентификации Kerberos связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 Kerberos 5 (aka krb5) 1.21.2 contains a memory leak vulnerability in /krb5/src/kdc/ndr.c. Уязвимость компонента /krb5/src/kdc/ndr.c сетевого протокола аутентификации Kerberos связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401'), NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 freeipa A vulnerability was found in FreeIPA in how the initial implementation of MS-SFU by MIT Kerberos was missing a condition for granting the "forwardable" flag on S4U2Self tickets. Fixing this mistake required adding a special case for the check_allowed_to_delegate() function: If the target service argument is NULL, then it means the KDC is probing for general constrained delegation rules and not checking a specific S4U2Proxy request. In FreeIPA 4.11.0, the behavior of ipadb_match_acl() was modified to match the changes from upstream MIT Kerberos 1.20. However, a mistake resulting in this mechanism applies in cases where the target service argument is set AND where it is unset. This results in S4U2Proxy requests being accepted regardless of whether or not there is a matching service delegation rule. Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-863'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 dcmtk Buffer Overflow vulnerability in DCMTK v.3.6.8 allows an attacker to execute arbitrary code via the EctEnhancedCT method component. Уязвимость метода EctEnhancedCT библиотеки для работы с форматом DICOM DCMTK связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 nodejs The team has identified a critical vulnerability in the http server of the most recent version of Node, where malformed headers can lead to HTTP request smuggling. Specifically, if a space is placed before a content-length header, it is not interpreted correctly, enabling attackers to smuggle in a second request within the body of the first. Уязвимость программной платформы Node.js связана с недостатками обработки HTTP-запросов. Эксплуатация уязвимости может позволить нарушителю, действущему удаленно, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) nodejs: - При использовании ПО NodeJS выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте NodeJS-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 pillow In _imagingcms.c in Pillow before 10.3.0, a buffer overflow exists because strcpy is used instead of strncpy. Уязвимость компонента _imagingcms.c библиотеки для работы с растровой графикой Pillow связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-680')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) - Не использовать уязвимый модуль ImageCms и, в частности, уязвимую функцию ImageCms.buildTransform - При невозможности отказа от использования уязвимой функции ImageCms.buildTransform перед ее вызовом предварительно проверять длину передаваемых в неё строк - она не должна превышать 8 байт Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a stack-based buffer overflow in the pdfi_apply_filter() function via a long PDF filter name. Уязвимость функции pdfi_apply_filter() набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера в процессе фильтрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код, вызвать отказ в обслуживании или получить полный контроль над приложением [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 sometimes has a stack-based buffer overflow via the CIDFSubstPath and CIDFSubstFont parameters. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью параметров CIDFSubstPath и CIDFSubstFont [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:L', score=5.4) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based pointer disclosure (observable in a constructed BaseFont name) in the function pdf_base_font_alloc. Уязвимость функции pdf_base_font_alloc набора программного обеспечения обработки документов Ghostscript связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.3) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript Artifex Ghostscript before 10.03.0 has a heap-based overflow when PDFPassword (e.g., for runpdf) has a \000 byte in the middle. Уязвимость набора программного обеспечения для обработки, преобразования и генерации документов Ghostscript связана с переполнением буфера при обработке параметра PDFPassword. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 libreoffice Unchecked script execution in Graphic on-click binding in affected LibreOffice versions allows an attacker to create a document which without prompt will execute scripts built-into LibreOffice on clicking a graphic. Such scripts were previously deemed trusted but are now deemed untrusted. Уязвимость пакета офисных программ LibreOffice связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-356'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 ffmpeg FFmpeg version n6.1.1 was discovered to contain a heap use-after-free via the av_hwframe_ctx_init function. Уязвимость функции av_hwframe_ctx_init мультимедийной библиотеки FFmpeg связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg version n5.1 to n6.1 was discovered to contain an Off-by-one Error vulnerability in libavfilter/avf_showspectrum.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via a crafted input. Уязвимость компонента libavfilter/avf_showspectrum.c мультимедийной библиотеки FFmpeg связана с ошибкой единичного смещения. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:N/A:H', score=5.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 cjson cJSON v1.7.17 was discovered to contain a segmentation violation, which can trigger through the second parameter of function cJSON_SetValuestring at cJSON.c. Уязвимость функции cJSON_SetValuestring компонента cJSON.c библиотеки для работы с JSON-объектами в C cJSON связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:H', score=7.6) - Удалить ПО cjson, если оно не используется и не является зависимостью других пакетов - Отказаться от использования ПО cjson в пользу ПО jansson - При использовании ПО cjson выполнять обработку файлов, полученных только из доверенных источников - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 freeipa A vulnerability was found in FreeIPA in a way when a Kerberos TGS-REQ is encrypted using the client’s session key. This key is different for each new session, which protects it from brute force attacks. However, the ticket it contains is encrypted using the target principal key directly. For user principals, this key is a hash of a public per-principal randomly-generated salt and the user’s password. If a principal is compromised it means the attacker would be able to retrieve tickets encrypted to any principal, all of them being encrypted by their own key directly. By taking these tickets and salts offline, the attacker could run brute force attacks to find character strings able to decrypt tickets when combined to a principal salt (i.e. find the principal’s password). Уязвимость программного обеспечения централизованного управления идентификацией FreeIPA связана с недостаточным вычислением хеша пароля. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-916')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 ffmpeg FFmpeg 7.0 is vulnerable to Buffer Overflow. There is a negative-size-param bug at libavcodec/mpegvideo_enc.c:1216:21 in load_input_picture in FFmpeg7.0 Уязвимость функции load_input_picture компонента ibavcodec/mpegvideo_enc.c мультимедийной библиотеки FFmpeg связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 unbound The DNS protocol in RFC 1035 and updates allows remote attackers to cause a denial of service (resource consumption) by arranging for DNS queries to be accumulated for seconds, such that responses are later sent in a pulsing burst (which can be considered traffic amplification in some cases), aka the "DNSBomb" issue. Уязвимость DNS-сервера Unbound связана с возможностью формирования импульсного потока большого количества запросов к серверу с использованием ответов от DNS-резолверов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать DDoS-атаку с использованием DNS-трафика [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Отсутствует Astra Linux 1.8 jinja2 Jinja is an extensible templating engine. The `xmlattr` filter in affected versions of Jinja accepts keys containing non-attribute characters. XML/HTML attributes cannot contain spaces, `/`, `>`, or `=`, as each would then be interpreted as starting a separate attribute. If an application accepts keys (as opposed to only values) as user input, and renders these in pages that other users see as well, an attacker could use this to inject other attributes and perform XSS. The fix for CVE-2024-22195 only addressed spaces but not other characters. Accepting keys as user input is now explicitly considered an unintended use case of the `xmlattr` filter, and code that does so without otherwise validating the input should be flagged as insecure, regardless of Jinja version. Accepting _values_ as user input continues to be safe. This vulnerability is fixed in 3.1.4. Уязвимость шаблонизатора для языка программирования Python Jinja связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) jinja2: - Удалить ПО jinja2, если оно не используется и не является зависимостью других пакетов - Использовать ПО jinja2 только на низком или отдельно выделенном уровне целостности - При использовании ПО jinja2 выполнять обработку файлов и данных, полученных только из доверенных источников - Обеспечить возможность запуска jinja2 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 dcmtk dcmnet in DCMTK before 3.6.9 has a segmentation fault via an invalid DIMSE message. Уязвимость компонента dcmnet библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:L', score=4.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 dcmtk dcmdata in DCMTK before 3.6.9 has a segmentation fault via an invalid DIMSE message. Уязвимость компонента dcmdata библиотеки для работы с форматом DICOM DCMTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) dcmtk: - При использовании ПО dcmtk выполнять обработку файлов, полученных только из доверенных источников - Отказаться от использования ПО dcmtk в пользу ПО gdcm - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 is Integer Overflow. The vulnerability exists in the parse_options function of sbgdec.c within the libavformat module. When parsing certain options, the software does not adequately validate the input. This allows for negative duration values to be accepted without proper bounds checking. Уязвимость функции parse_options компонента sbgdec.c модуля libavformat мультимедийной библиотеки FFmpeg связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: n_gsm: fix possible out-of-bounds in gsm0_receive() Assuming the following: - side A configures the n_gsm in basic option mode - side B sends the header of a basic option mode frame with data length 1 - side A switches to advanced option mode - side B sends 2 data bytes which exceeds gsm->len Reason: gsm->len is not used in advanced option mode. - side A switches to basic option mode - side B keeps sending until gsm0_receive() writes past gsm->buf Reason: Neither gsm->state nor gsm->len have been reset after reconfiguration. Fix this by changing gsm->count to gsm->len comparison from equal to less than. Also add upper limit checks against the constant MAX_MRU in gsm0_receive() and gsm1_receive() to harden against memory corruption of gsm->len and gsm->mru. All other checks remain as we still need to limit the data according to the user configuration and actual payload size. Уязвимость компонента drivers/tty/n_gsm.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля n_gsm.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль n_gsm в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep n_gsm ``` или ``` kmod list | grep n_gsm ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod n_gsm ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-команду: ``` install n_gsm /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пункт №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: keys: Fix overwrite of key expiration on instantiation The expiry time of a key is unconditionally overwritten during instantiation, defaulting to turn it permanent. This causes a problem for DNS resolution as the expiration set by user-space is overwritten to TIME64_MAX, disabling further DNS updates. Fix this by restoring the condition that key_set_expiry is only called when the pre-parser sets a specific expiry. Уязвимость компонента security/keys/key.c ядра операционной системы Linux связана с использованием ключа с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-324')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 plasma-workspace KSmserver in KDE Plasma Workspace (aka plasma-workspace) before 5.27.11.1 and 6.x before 6.0.5.1 allows connections via ICE based purely on the host, i.e., all local connections are accepted. This allows another user on the same machine to gain access to the session manager, e.g., use the session-restore feature to execute arbitrary code as the victim (on the next boot) via earlier use of the /tmp directory. Уязвимость графической среды рабочего стола Plasma Workspace связана с неверным сроком действия сеанса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-613')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 389-ds-base A flaw was found in 389-ds-base. A specially-crafted LDAP query can potentially cause a failure on the directory server, leading to a denial of service Уязвимость сервера службы каталогов 389 Directory Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного LDAP запроса [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has a vulnerability in the DXA demuxer of the libavformat library allowing for an integer overflow, potentially resulting in a denial-of-service (DoS) condition or other undefined behavior. Уязвимость демультиплексора DXA мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg An integer overflow in the component /libavformat/westwood_vqa.c of FFmpeg n6.1.1 allows attackers to cause a denial of service in the application via a crafted VQA file. Уязвимость компонента libavformat/westwood_vqa.c мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного VQA файла [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has an integer overflow vulnerability in the FFmpeg CAF decoder. Уязвимость декодера CAF мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix UAF in error path Sam Page (sam4k) working with Trend Micro Zero Day Initiative reported a UAF in the tipc_buf_append() error path: BUG: KASAN: slab-use-after-free in kfree_skb_list_reason+0x47e/0x4c0 linux/net/core/skbuff.c:1183 Read of size 8 at addr ffff88804d2a7c80 by task poc/8034 CPU: 1 PID: 8034 Comm: poc Not tainted 6.8.2 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.0-debian-1.16.0-5 04/01/2014 Call Trace: <IRQ> __dump_stack linux/lib/dump_stack.c:88 dump_stack_lvl+0xd9/0x1b0 linux/lib/dump_stack.c:106 print_address_description linux/mm/kasan/report.c:377 print_report+0xc4/0x620 linux/mm/kasan/report.c:488 kasan_report+0xda/0x110 linux/mm/kasan/report.c:601 kfree_skb_list_reason+0x47e/0x4c0 linux/net/core/skbuff.c:1183 skb_release_data+0x5af/0x880 linux/net/core/skbuff.c:1026 skb_release_all linux/net/core/skbuff.c:1094 __kfree_skb linux/net/core/skbuff.c:1108 kfree_skb_reason+0x12d/0x210 linux/net/core/skbuff.c:1144 kfree_skb linux/./include/linux/skbuff.h:1244 tipc_buf_append+0x425/0xb50 linux/net/tipc/msg.c:186 tipc_link_input+0x224/0x7c0 linux/net/tipc/link.c:1324 tipc_link_rcv+0x76e/0x2d70 linux/net/tipc/link.c:1824 tipc_rcv+0x45f/0x10f0 linux/net/tipc/node.c:2159 tipc_udp_recv+0x73b/0x8f0 linux/net/tipc/udp_media.c:390 udp_queue_rcv_one_skb+0xad2/0x1850 linux/net/ipv4/udp.c:2108 udp_queue_rcv_skb+0x131/0xb00 linux/net/ipv4/udp.c:2186 udp_unicast_rcv_skb+0x165/0x3b0 linux/net/ipv4/udp.c:2346 __udp4_lib_rcv+0x2594/0x3400 linux/net/ipv4/udp.c:2422 ip_protocol_deliver_rcu+0x30c/0x4e0 linux/net/ipv4/ip_input.c:205 ip_local_deliver_finish+0x2e4/0x520 linux/net/ipv4/ip_input.c:233 NF_HOOK linux/./include/linux/netfilter.h:314 NF_HOOK linux/./include/linux/netfilter.h:308 ip_local_deliver+0x18e/0x1f0 linux/net/ipv4/ip_input.c:254 dst_input linux/./include/net/dst.h:461 ip_rcv_finish linux/net/ipv4/ip_input.c:449 NF_HOOK linux/./include/linux/netfilter.h:314 NF_HOOK linux/./include/linux/netfilter.h:308 ip_rcv+0x2c5/0x5d0 linux/net/ipv4/ip_input.c:569 __netif_receive_skb_one_core+0x199/0x1e0 linux/net/core/dev.c:5534 __netif_receive_skb+0x1f/0x1c0 linux/net/core/dev.c:5648 process_backlog+0x101/0x6b0 linux/net/core/dev.c:5976 __napi_poll.constprop.0+0xba/0x550 linux/net/core/dev.c:6576 napi_poll linux/net/core/dev.c:6645 net_rx_action+0x95a/0xe90 linux/net/core/dev.c:6781 __do_softirq+0x21f/0x8e7 linux/kernel/softirq.c:553 do_softirq linux/kernel/softirq.c:454 do_softirq+0xb2/0xf0 linux/kernel/softirq.c:441 </IRQ> <TASK> __local_bh_enable_ip+0x100/0x120 linux/kernel/softirq.c:381 local_bh_enable linux/./include/linux/bottom_half.h:33 rcu_read_unlock_bh linux/./include/linux/rcupdate.h:851 __dev_queue_xmit+0x871/0x3ee0 linux/net/core/dev.c:4378 dev_queue_xmit linux/./include/linux/netdevice.h:3169 neigh_hh_output linux/./include/net/neighbour.h:526 neigh_output linux/./include/net/neighbour.h:540 ip_finish_output2+0x169f/0x2550 linux/net/ipv4/ip_output.c:235 __ip_finish_output linux/net/ipv4/ip_output.c:313 __ip_finish_output+0x49e/0x950 linux/net/ipv4/ip_output.c:295 ip_finish_output+0x31/0x310 linux/net/ipv4/ip_output.c:323 NF_HOOK_COND linux/./include/linux/netfilter.h:303 ip_output+0x13b/0x2a0 linux/net/ipv4/ip_output.c:433 dst_output linux/./include/net/dst.h:451 ip_local_out linux/net/ipv4/ip_output.c:129 ip_send_skb+0x3e5/0x560 linux/net/ipv4/ip_output.c:1492 udp_send_skb+0x73f/0x1530 linux/net/ipv4/udp.c:963 udp_sendmsg+0x1a36/0x2b40 linux/net/ipv4/udp.c:1250 inet_sendmsg+0x105/0x140 linux/net/ipv4/af_inet.c:850 sock_sendmsg_nosec linux/net/socket.c:730 __sock_sendmsg linux/net/socket.c:745 __sys_sendto+0x42c/0x4e0 linux/net/socket.c:2191 __do_sys_sendto linux/net/socket.c:2203 __se_sys_sendto linux/net/socket.c:2199 __x64_sys_sendto+0xe0/0x1c0 linux/net/socket.c:2199 do_syscall_x64 linux/arch/x86/entry/common.c:52 do_syscall_ ---truncated--- Уязвимость функции tipc_buf_append() в модуле net/tipc/msg.c реализации протокола Transparent Inter Process Communication (TIPC) ядра операционной системы Linux связана связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля tipc.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль tipc в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep tipc ``` или ``` kmod list | grep tipc ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod tipc ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install tipc /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: core: Fix access violation during port device removal Testing with KASAN and syzkaller revealed a bug in port.c:disable_store(): usb_hub_to_struct_hub() can return NULL if the hub that the port belongs to is concurrently removed, but the function does not check for this possibility before dereferencing the returned value. It turns out that the first dereference is unnecessary, since hub->intfdev is the parent of the port device, so it can be changed easily. Adding a check for hub == NULL prevents further problems. The same bug exists in the disable_show() routine, and it can be fixed the same way. Уязвимость функций disable_show() и disable_strore() в модуле drivers/usb/core/port.c драйвера USB ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность и доступность защищаемой информации [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: defer shutdown(SEND_SHUTDOWN) for TCP_SYN_RECV sockets TCP_SYN_RECV state is really special, it is only used by cross-syn connections, mostly used by fuzzers. In the following crash [1], syzbot managed to trigger a divide by zero in tcp_rcv_space_adjust() A socket makes the following state transitions, without ever calling tcp_init_transfer(), meaning tcp_init_buffer_space() is also not called. TCP_CLOSE connect() TCP_SYN_SENT TCP_SYN_RECV shutdown() -> tcp_shutdown(sk, SEND_SHUTDOWN) TCP_FIN_WAIT1 To fix this issue, change tcp_shutdown() to not perform a TCP_SYN_RECV -> TCP_FIN_WAIT1 transition, which makes no sense anyway. When tcp_rcv_state_process() later changes socket state from TCP_SYN_RECV to TCP_ESTABLISH, then look at sk->sk_shutdown to finally enter TCP_FIN_WAIT1 state, and send a FIN packet from a sane socket state. This means tcp_send_fin() can now be called from BH context, and must use GFP_ATOMIC allocations. [1] divide error: 0000 [#1] PREEMPT SMP KASAN NOPTI CPU: 1 PID: 5084 Comm: syz-executor358 Not tainted 6.9.0-rc6-syzkaller-00022-g98369dccd2f8 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:tcp_rcv_space_adjust+0x2df/0x890 net/ipv4/tcp_input.c:767 Code: e3 04 4c 01 eb 48 8b 44 24 38 0f b6 04 10 84 c0 49 89 d5 0f 85 a5 03 00 00 41 8b 8e c8 09 00 00 89 e8 29 c8 48 0f af c3 31 d2 <48> f7 f1 48 8d 1c 43 49 8d 96 76 08 00 00 48 89 d0 48 c1 e8 03 48 RSP: 0018:ffffc900031ef3f0 EFLAGS: 00010246 RAX: 0c677a10441f8f42 RBX: 000000004fb95e7e RCX: 0000000000000000 RDX: 0000000000000000 RSI: 0000000000000000 RDI: 0000000000000000 RBP: 0000000027d4b11f R08: ffffffff89e535a4 R09: 1ffffffff25e6ab7 R10: dffffc0000000000 R11: ffffffff8135e920 R12: ffff88802a9f8d30 R13: dffffc0000000000 R14: ffff88802a9f8d00 R15: 1ffff1100553f2da FS: 00005555775c0380(0000) GS:ffff8880b9500000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f1155bf2304 CR3: 000000002b9f2000 CR4: 0000000000350ef0 Call Trace: <TASK> tcp_recvmsg_locked+0x106d/0x25a0 net/ipv4/tcp.c:2513 tcp_recvmsg+0x25d/0x920 net/ipv4/tcp.c:2578 inet6_recvmsg+0x16a/0x730 net/ipv6/af_inet6.c:680 sock_recvmsg_nosec net/socket.c:1046 [inline] sock_recvmsg+0x109/0x280 net/socket.c:1068 ____sys_recvmsg+0x1db/0x470 net/socket.c:2803 ___sys_recvmsg net/socket.c:2845 [inline] do_recvmmsg+0x474/0xae0 net/socket.c:2939 __sys_recvmmsg net/socket.c:3018 [inline] __do_sys_recvmmsg net/socket.c:3041 [inline] __se_sys_recvmmsg net/socket.c:3034 [inline] __x64_sys_recvmmsg+0x199/0x250 net/socket.c:3034 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7faeb6363db9 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 c1 17 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007ffcc1997168 EFLAGS: 00000246 ORIG_RAX: 000000000000012b RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007faeb6363db9 RDX: 0000000000000001 RSI: 0000000020000bc0 RDI: 0000000000000005 RBP: 0000000000000000 R08: 0000000000000000 R09: 000000000000001c R10: 0000000000000122 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000001 R15: 0000000000000001 Уязвимость компонента tcp ядра операционной системы Linux связана с ошибкой деления на ноль в tcp_rcv_space_adjust(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Track decrypted status in vmbus_gpadl In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. In order to make sure callers of vmbus_establish_gpadl() and vmbus_teardown_gpadl() don't return decrypted/shared pages to allocators, add a field in struct vmbus_gpadl to keep track of the decryption status of the buffers. This will allow the callers to know if they should free or leak the pages. Уязвимость функции set_memory_encrypted() компонента drivers/hv/channel.c ядра операционной системы Linux связана с разглашением конфиденциальной системной информации из-за неочищенной отладочной информации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1258')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.6) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda: intel-sdw-acpi: fix usage of device_get_named_child_node() The documentation for device_get_named_child_node() mentions this important point: " The caller is responsible for calling fwnode_handle_put() on the returned fwnode pointer. " Add fwnode_handle_put() to avoid a leaked reference. Уязвимость функции device_get_named_child_node() компонента sound/hda/intel-sdw-acpi.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=7.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: sched: sch_multiq: fix possible OOB write in multiq_tune() q->bands will be assigned to qopt->bands to execute subsequent code logic after kmalloc. So the old q->bands should not be used in kmalloc. Otherwise, an out-of-bounds write will occur. Уязвимость функции multiq_tune компонента sch_multiq ядра операционной системы Linux связана с записью за границами буфера динамической памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью выполнения специально сформированных сетевых запросов. [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: mst: fix vlan use-after-free syzbot reported a suspicious rcu usage[1] in bridge's mst code. While fixing it I noticed that nothing prevents a vlan to be freed while walking the list from the same path (br forward delay timer). Fix the rcu usage and also make sure we are not accessing freed memory by making br_mst_vlan_set_state use rcu read lock. [1] WARNING: suspicious RCU usage 6.9.0-rc6-syzkaller #0 Not tainted ----------------------------- net/bridge/br_private.h:1599 suspicious rcu_dereference_protected() usage! ... stack backtrace: CPU: 1 PID: 8017 Comm: syz-executor.1 Not tainted 6.9.0-rc6-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 lockdep_rcu_suspicious+0x221/0x340 kernel/locking/lockdep.c:6712 nbp_vlan_group net/bridge/br_private.h:1599 [inline] br_mst_set_state+0x1ea/0x650 net/bridge/br_mst.c:105 br_set_state+0x28a/0x7b0 net/bridge/br_stp.c:47 br_forward_delay_timer_expired+0x176/0x440 net/bridge/br_stp_timer.c:88 call_timer_fn+0x18e/0x650 kernel/time/timer.c:1793 expire_timers kernel/time/timer.c:1844 [inline] __run_timers kernel/time/timer.c:2418 [inline] __run_timer_base+0x66a/0x8e0 kernel/time/timer.c:2429 run_timer_base kernel/time/timer.c:2438 [inline] run_timer_softirq+0xb7/0x170 kernel/time/timer.c:2448 __do_softirq+0x2c6/0x980 kernel/softirq.c:554 invoke_softirq kernel/softirq.c:428 [inline] __irq_exit_rcu+0xf2/0x1c0 kernel/softirq.c:633 irq_exit_rcu+0x9/0x30 kernel/softirq.c:645 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1043 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1043 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 arch/x86/include/asm/idtentry.h:702 RIP: 0010:lock_acquire+0x264/0x550 kernel/locking/lockdep.c:5758 Code: 2b 00 74 08 4c 89 f7 e8 ba d1 84 00 f6 44 24 61 02 0f 85 85 01 00 00 41 f7 c7 00 02 00 00 74 01 fb 48 c7 44 24 40 0e 36 e0 45 <4b> c7 44 25 00 00 00 00 00 43 c7 44 25 09 00 00 00 00 43 c7 44 25 RSP: 0018:ffffc90013657100 EFLAGS: 00000206 RAX: 0000000000000001 RBX: 1ffff920026cae2c RCX: 0000000000000001 RDX: dffffc0000000000 RSI: ffffffff8bcaca00 RDI: ffffffff8c1eaa60 RBP: ffffc90013657260 R08: ffffffff92efe507 R09: 1ffffffff25dfca0 R10: dffffc0000000000 R11: fffffbfff25dfca1 R12: 1ffff920026cae28 R13: dffffc0000000000 R14: ffffc90013657160 R15: 0000000000000246 Уязвимость функции br_mst_set_state() в модуле net/bridge/br_mst.c реализации протокола IEEE 802.1D ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can modify the plaintext Extra Count field of a confidential GSS krb5 wrap token, causing the unwrapped token to appear truncated to the application. Уязвимость сетевого протокола аутентификации Kerberos связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) krb5: - Используйте krb5 с минимально необходимыми привилегиями - Включите межсетевой экран ufw - Обеспечить возможность запуска krb5 только доверенными пользователями ОС - Включить мандатный контроль целостности (МКЦ) - Настройте права доступа к конфигурационным файлам krb5 так, чтобы их могли изменять только администраторы системы. Astra Linux 1.8 krb5 In MIT Kerberos 5 (aka krb5) before 1.21.3, an attacker can cause invalid memory reads during GSS message token handling by sending message tokens with invalid length fields. Уязвимость сетевого протокола аутентификации Kerberos связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости необходимо настроить Kerberos для использования только безопасных версий GSS API и отключить уязвимые функции. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте следующие настройки в файл конфигурации /etc/krb5.conf: ``` [libdefaults] permitted_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 default_tgs_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 default_tkt_enctypes = aes256-cts-hmac-sha1-96 aes128-cts-hmac-sha1-96 [realms] YOUR_REALM = { supported_enctypes = aes256-cts-hmac-sha1-96:normal aes128-cts-hmac-sha1-96:normal } ``` Astra Linux 1.8 squid Squid is a caching proxy for the Web supporting HTTP, HTTPS, FTP, and more. Due to an Out-of-bounds Write error when assigning ESI variables, Squid is susceptible to a Memory Corruption error. This error can lead to a Denial of Service attack. Уязвимость прокси-сервера Squid связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.3) squid: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. squid3: - Исключить из автозапуска сетевой сервис - Обеспечить подключения пользователей к прокси серверу squid только по https протоколу - Использовать ПО squid только на низком или отдельно выделенном уровне целостности - Запускать ПО Squid с минимально необходимыми привилегиями - Используя полномочия администратора системы с высоким уровнем целостности, настройте конфигурационный файл Squid (/etc/squid/squid.conf): ``` # Разрешите доступ к прокси-серверу только с доверенных IP-адресов acl localnet src YOUR_TRUSTED_IP http_access allow localnet http_access deny all ``` - Настройте брандмауэр так, чтобы разрешать входящие подключения к Squid только с доверенных сетей, например: ``` sudo iptables -A INPUT -s YOUR_TRUSTED_IP -p tcp --dport 3128 -j ACCEPT sudo iptables -A INPUT -p tcp --dport 3128 -j DROP ``` - Ограничьте доступ к ненадёжным и недоверенным ресурсам с помощью белых или чёрных списков. Astra Linux 1.8 wget url.c in GNU Wget through 1.24.5 mishandles semicolons in the userinfo subcomponent of a URI, and thus there may be insecure behavior in which data that was supposed to be in the userinfo subcomponent is misinterpreted to be part of the host subcomponent. Уязвимость компонента src/url.c программы для загрузки файлов GNU Wget связана с возникновением конфликта интерпретаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-436'), NistCWE(cwe='CWE-436')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Для нейтрализации угрозы эксплуатации уязвимости при использовании ПО wget убедитесь, что в передаваемом URL отсутствует символ точки с запятой ";". Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix UAF for cq async event The refcount of CQ is not protected by locks. When CQ asynchronous events and CQ destruction are concurrent, CQ may have been released, which will cause UAF. Use the xa_lock() to protect the CQ refcount. Уязвимость функции hns_roce_cq_event() в модуле drivers/infiniband/hw/hns/hns_roce_cq.c драйвера InfiniBand ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix potential index out of bounds in color transformation function Fixes index out of bounds issue in the color transformation function. The issue could occur when the index 'i' exceeds the number of transfer function points (TRANSFER_FUNC_POINTS). The fix adds a check to ensure 'i' is within bounds before accessing the transfer function points. If 'i' is out of bounds, an error message is logged and the function returns false to indicate an error. Reported by smatch: drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:405 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.red' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:406 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.green' 1025 <= s32max drivers/gpu/drm/amd/amdgpu/../display/dc/dcn10/dcn10_cm_common.c:407 cm_helper_translate_curve_to_hw_format() error: buffer overflow 'output_tf->tf_pts.blue' 1025 <= s32max Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с выходом индекса 'i' за пределы границ в функции передачи (TRANSFER_FUNC_POINTS). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Discard command completions in internal error Fix use after free when FW completion arrives while device is in internal error state. Avoid calling completion handler in this case, since the device will flush the command interface and trigger all completions manually. Kernel log: ------------[ cut here ]------------ refcount_t: underflow; use-after-free. ... RIP: 0010:refcount_warn_saturate+0xd8/0xe0 ... Call Trace: <IRQ> ? __warn+0x79/0x120 ? refcount_warn_saturate+0xd8/0xe0 ? report_bug+0x17c/0x190 ? handle_bug+0x3c/0x60 ? exc_invalid_op+0x14/0x70 ? asm_exc_invalid_op+0x16/0x20 ? refcount_warn_saturate+0xd8/0xe0 cmd_ent_put+0x13b/0x160 [mlx5_core] mlx5_cmd_comp_handler+0x5f9/0x670 [mlx5_core] cmd_comp_notifier+0x1f/0x30 [mlx5_core] notifier_call_chain+0x35/0xb0 atomic_notifier_call_chain+0x16/0x20 mlx5_eq_async_int+0xf6/0x290 [mlx5_core] notifier_call_chain+0x35/0xb0 atomic_notifier_call_chain+0x16/0x20 irq_int_handler+0x19/0x30 [mlx5_core] __handle_irq_event_percpu+0x4b/0x160 handle_irq_event+0x2e/0x80 handle_edge_irq+0x98/0x230 __common_interrupt+0x3b/0xa0 common_interrupt+0x7b/0xa0 </IRQ> <TASK> asm_common_interrupt+0x22/0x40 Уязвимость компонента net/mlx5 ядра операционной системы Linux связана с отменой завершения команд при внутренней ошибке после освобождения памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cppc_cpufreq: Fix possible null pointer dereference cppc_cpufreq_get_rate() and hisi_cppc_cpufreq_get_rate() can be called from different places with various parameters. So cpufreq_cpu_get() can return null as 'policy' in some circumstances. Fix this bug by adding null return check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента cppc_cpufreq ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu-tasks: Fix show_rcu_tasks_trace_gp_kthread buffer overflow There is a possibility of buffer overflow in show_rcu_tasks_trace_gp_kthread() if counters, passed to sprintf() are huge. Counter numbers, needed for this are unrealistically high, but buffer overflow is still possible. Use snprintf() with buffer size instead of sprintf(). Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость функции show_rcu_tasks_trace_gp_kthread() в модуле kernel/rcu/tasks.h ядра операционной системы Linux связана с переполнением буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu/mes: fix use-after-free issue Delete fence fallback timer to fix the ramdom use-after-free issue. v2: move to amdgpu_mes.c Уязвимость функции amdgpu_mes_remove_ring() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_mes.c драйвера amdgpu ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix use-after-free of timer for log writer thread Patch series "nilfs2: fix log writer related issues". This bug fix series covers three nilfs2 log writer-related issues, including a timer use-after-free issue and potential deadlock issue on unmount, and a potential freeze issue in event synchronization found during their analysis. Details are described in each commit log. This patch (of 3): A use-after-free issue has been reported regarding the timer sc_timer on the nilfs_sc_info structure. The problem is that even though it is used to wake up a sleeping log writer thread, sc_timer is not shut down until the nilfs_sc_info structure is about to be freed, and is used regardless of the thread's lifetime. Fix this issue by limiting the use of sc_timer only while the log writer thread is alive. Уязвимость функции nilfs_segctor_notify() в модуле fs/nilfs2/segment.c файловой системы nilfs2 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: core: Fix NULL module pointer assignment at card init The commit 81033c6b584b ("ALSA: core: Warn on empty module") introduced a WARN_ON() for a NULL module pointer passed at snd_card object creation, and it also wraps the code around it with '#ifdef MODULE'. This works in most cases, but the devils are always in details. "MODULE" is defined when the target code (i.e. the sound core) is built as a module; but this doesn't mean that the caller is also built-in or not. Namely, when only the sound core is built-in (CONFIG_SND=y) while the driver is a module (CONFIG_SND_USB_AUDIO=m), the passed module pointer is ignored even if it's non-NULL, and card->module remains as NULL. This would result in the missing module reference up/down at the device open/close, leading to a race with the code execution after the module removal. For addressing the bug, move the assignment of card->module again out of ifdef. The WARN_ON() is still wrapped with ifdef because the module can be really NULL when all sound drivers are built-in. Note that we keep 'ifdef MODULE' for WARN_ON(), otherwise it would lead to a false-positive NULL module check. Admittedly it won't catch perfectly, i.e. no check is performed when CONFIG_SND=y. But, it's no real problem as it's only for debugging, and the condition is pretty rare. Уязвимость компонента ALSA ядра операционной системы Linux связана с разыменованием указателя NULL в функции snd_card_new(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix invalid unregister error path The error path of seg6_init() is wrong in case CONFIG_IPV6_SEG6_LWTUNNEL is not defined. In that case if seg6_hmac_init() fails, the genl_unregister_family() isn't called. This issue exist since commit 46738b1317e1 ("ipv6: sr: add option to control lwtunnel support"), and commit 5559cea2d5aa ("ipv6: sr: fix possible use-after-free and null-ptr-deref") replaced unregister_pernet_subsys() with genl_unregister_family() in this error path. Уязвимость функции seg6_init компонента ipv6 ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) В целях устранения угрозы эксплуатации уязвимости CVE-2024-38612 необходимо запретить загрузку модуля seg6.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль seg6 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep seg6 ``` или ``` kmod list | grep seg6 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod seg6 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install seg6 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: re-fix fortified-memset warning The carl9170_tx_release() function sometimes triggers a fortified-memset warning in my randconfig builds: In file included from include/linux/string.h:254, from drivers/net/wireless/ath/carl9170/tx.c:40: In function 'fortify_memset_chk', inlined from 'carl9170_tx_release' at drivers/net/wireless/ath/carl9170/tx.c:283:2, inlined from 'kref_put' at include/linux/kref.h:65:3, inlined from 'carl9170_tx_put_skb' at drivers/net/wireless/ath/carl9170/tx.c:342:9: include/linux/fortify-string.h:493:25: error: call to '__write_overflow_field' declared with attribute warning: detected write beyond size of field (1st parameter); maybe use struct_group()? [-Werror=attribute-warning] 493 | __write_overflow_field(p_size_field, size); Kees previously tried to avoid this by using memset_after(), but it seems this does not fully address the problem. I noticed that the memset_after() here is done on a different part of the union (status) than the original cast was from (rate_driver_data), which may confuse the compiler. Unfortunately, the memset_after() trick does not work on driver_rates[] because that is part of an anonymous struct, and I could not get struct_group() to do this either. Using two separate memset() calls on the two members does address the warning though. Уязвимость функции carl9170_tx_release() ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:H', score=8.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Use variable length array instead of fixed size Should fix smatch warning: ntfs_set_label() error: __builtin_memcpy() 'uni->name' too small (20 vs 256) Уязвимость компонента ntfs3 ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости CVE-2024-38623 необходимо запретить загрузку модуля ntfs3.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль ntfs3 в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep ntfs3 ``` или ``` kmod list | grep ntfs3 ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod ntfs3 ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install ntfs3 /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 zziplib A Stack Buffer Overflow vulnerability in zziplibv 0.13.77 allows attackers to cause a denial of service via the __zzip_fetch_disk_trailer() function at /zzip/zip.c. Уязвимость функции __zzip_fetch_disk_trailer() компонента /zzip/zip.c библиотеки архивирования ZZIPlib связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: 9p: add missing locking around taking dentry fid list Fix a use-after-free on dentry's d_fsdata fid list when a thread looks up a fid through dentry while another thread unlinks it: UAF thread: refcount_t: addition on 0; use-after-free. p9_fid_get linux/./include/net/9p/client.h:262 v9fs_fid_find+0x236/0x280 linux/fs/9p/fid.c:129 v9fs_fid_lookup_with_uid linux/fs/9p/fid.c:181 v9fs_fid_lookup+0xbf/0xc20 linux/fs/9p/fid.c:314 v9fs_vfs_getattr_dotl+0xf9/0x360 linux/fs/9p/vfs_inode_dotl.c:400 vfs_statx+0xdd/0x4d0 linux/fs/stat.c:248 Freed by: p9_fid_destroy (inlined) p9_client_clunk+0xb0/0xe0 linux/net/9p/client.c:1456 p9_fid_put linux/./include/net/9p/client.h:278 v9fs_dentry_release+0xb5/0x140 linux/fs/9p/vfs_dentry.c:55 v9fs_remove+0x38f/0x620 linux/fs/9p/vfs_inode.c:518 vfs_unlink+0x29a/0x810 linux/fs/namei.c:4335 The problem is that d_fsdata was not accessed under d_lock, because d_release() normally is only called once the dentry is otherwise no longer accessible but since we also call it explicitly in v9fs_remove that lock is required: move the hlist out of the dentry under lock then unref its fids once they are no longer accessible. Уязвимость функции v9fs_dentry_release() в модуле fs/9p/vfs_dentry.c файловой системы 9p ядра операционной системы Linux связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kdb: Fix buffer overflow during tab-complete Currently, when the user attempts symbol completion with the Tab key, kdb will use strncpy() to insert the completed symbol into the command buffer. Unfortunately it passes the size of the source buffer rather than the destination to strncpy() with predictably horrible results. Most obviously if the command buffer is already full but cp, the cursor position, is in the middle of the buffer, then we will write past the end of the supplied buffer. Fix this by replacing the dubious strncpy() calls with memmove()/memcpy() calls plus explicit boundary checks to make sure we have enough space before we start moving characters around. Уязвимость функции kdb_read() в модуле kernel/debug/kdb/kdb_io.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: Fix use-after-free on a dentry's dname.name ->d_name.name can change on rename and the earlier value can be freed; there are conditions sufficient to stabilize it (->d_lock on dentry, ->d_lock on its parent, ->i_rwsem exclusive on the parent's inode, rename_lock), but none of those are met at any of the sites. Take a stable snapshot of the name instead. Уязвимость функции ima_collect_measurement() в модуле security/integrity/ima/ima_api.c компонента IMA ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: greybus: Fix use-after-free bug in gb_interface_release due to race condition. In gb_interface_create, &intf->mode_switch_completion is bound with gb_interface_mode_switch_work. Then it will be started by gb_interface_request_mode_switch. Here is the relevant code. if (!queue_work(system_long_wq, &intf->mode_switch_work)) { ... } If we call gb_interface_release to make cleanup, there may be an unfinished work. This function will call kfree to free the object "intf". However, if gb_interface_mode_switch_work is scheduled to run after kfree, it may cause use-after-free error as gb_interface_mode_switch_work will use the object "intf". The possible execution flow that may lead to the issue is as follows: CPU0 CPU1 | gb_interface_create | gb_interface_request_mode_switch gb_interface_release | kfree(intf) (free) | | gb_interface_mode_switch_work | mutex_lock(&intf->mutex) (use) Fix it by canceling the work before kfree. Уязвимость функции gb_interface_release() в модуле drivers/greybus/interface.c драйвера Greybus ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 openssh OpenSSH 9.5 through 9.7 before 9.8 sometimes allows timing attacks against echo-off password entry (e.g., for su and Sudo) because of an ObscureKeystrokeTiming logic error. Similarly, other timing attacks against keystroke entry could occur. Уязвимость функции ObscureKeystrokeTiming() средства криптографической защиты OpenSSH связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) openssh: - Не подключайтесь к ненадежным серверам с помощью агента SSH; - Не используйте опцию -A при использовании команды ssh для исключения возможности перенаправления соединения агента аутентификации; - Убедитесь, что опция ForwardAgent отключена глобальных и пользовательских конфигурационных файлах SSH-клиента (/etc/ssh/ssh_config и ~/.ssh/config). Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ к SSH-серверу только для доверенных пользователей. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр AllowUsers в конфигурационные файлы SSH. Пример добавления пользователя: ` AllowUsers <username> ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Настройте разграничение по сетевым интерфейсам, сетевым адресам и именам компьютера. Для этого, используя полномочия администратора системы с высоким уровнем целостности, добавьте параметр ListenAddress в конфигурационные файлы SSH. Пример конфигурации: ``` # Прослушивать на конкретном IP-адресе сервера ListenAddress 192.168.1.10 # Можно указать несколько строк ListenAddress 192.168.1.10 ListenAddress 10.0.0.5 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Для защиты ключей следует выбирать надёжный пароль доступа к клиентским файлам ключей. При формировании ключа для увеличения числа итераций хэширования можно использовать опцию "ssh-keygen -o -a <число>", что усложнит подбор пароля. Также можно сохранить ключи только на внешнем носителе, подключая его только во время соединения по SSH. - Установите небольшое время ожидания для завершения аутентификации пользователя в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ` LoginGraceTime 10s ` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте количество попыток авторизации в конфигурационных файлах SSH, используя полномочия администратора системы с высоким уровнем целостности. Пример конфигурации: ``` # Ограничение на две неудачные попытки, после чего произойдёт разрыв соединения MaxAuthTries 2 ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Включите аутентификацию с использованием ключей Запретите вход от имени root. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` PermitRootLogin no ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Измените стандартный порт SSH. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в конфигурационных файлах SSH установите следующий параметр: ``` Port <Новый порт SSH> ``` Для применения изменений в конфигурации, необходимо перезапустить SSH-сервис. - Ограничьте доступ по IP-адресу для снижения возможности подключения к серверу с неразрешённых IP-адресов. Для этого, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.allow добавьте строки вида: ``` sshd: <разрешённый IP-адрес> ``` А также, используя полномочия администратора системы с высоким уровнем целостности, в файле /etc/hosts.deny добавьте следующую строку: ``` sshd: ALL ``` Astra Linux 1.8 python3.11 The “ipaddress” module contained incorrect information about whether certain IPv4 and IPv6 addresses were designated as “globally reachable” or “private”. This affected the is_private and is_global properties of the ipaddress.IPv4Address, ipaddress.IPv4Network, ipaddress.IPv6Address, and ipaddress.IPv6Network classes, where values wouldn’t be returned in accordance with the latest information from the IANA Special-Purpose Address Registries. CPython 3.12.4 and 3.13.0a6 contain updated information from these registries and thus have the intended behavior. Уязвимость интерпретатора языка программирования Python связана с недостаточным сравнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-697')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: xattr: fix buffer overflow for invalid xattr When an xattr size is not what is expected, it is printed out to the kernel log in hex format as a form of debugging. But when that xattr size is bigger than the expected size, printing it out can cause an access off the end of the buffer. Fix this all up by properly restricting the size of the debug hex dump in the kernel log. Уязвимость функции ea_get() в модуле fs/jfs/xattr.c файловой системы jfs ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-121')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: do not leave a dangling sk pointer, when socket creation fails It is possible to trigger a use-after-free by: * attaching an fentry probe to __sock_release() and the probe calling the bpf_get_socket_cookie() helper * running traceroute -I 1.1.1.1 on a freshly booted VM A KASAN enabled kernel will log something like below (decoded and stripped): ================================================================== BUG: KASAN: slab-use-after-free in __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) Read of size 8 at addr ffff888007110dd8 by task traceroute/299 CPU: 2 PID: 299 Comm: traceroute Tainted: G E 6.10.0-rc2+ #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2-debian-1.16.2-1 04/01/2014 Call Trace: <TASK> dump_stack_lvl (lib/dump_stack.c:117 (discriminator 1)) print_report (mm/kasan/report.c:378 mm/kasan/report.c:488) ? __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) kasan_report (mm/kasan/report.c:603) ? __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) kasan_check_range (mm/kasan/generic.c:183 mm/kasan/generic.c:189) __sock_gen_cookie (./arch/x86/include/asm/atomic64_64.h:15 ./include/linux/atomic/atomic-arch-fallback.h:2583 ./include/linux/atomic/atomic-instrumented.h:1611 net/core/sock_diag.c:29) bpf_get_socket_ptr_cookie (./arch/x86/include/asm/preempt.h:94 ./include/linux/sock_diag.h:42 net/core/filter.c:5094 net/core/filter.c:5092) bpf_prog_875642cf11f1d139___sock_release+0x6e/0x8e bpf_trampoline_6442506592+0x47/0xaf __sock_release (net/socket.c:652) __sock_create (net/socket.c:1601) ... Allocated by task 299 on cpu 2 at 78.328492s: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:68) __kasan_slab_alloc (mm/kasan/common.c:312 mm/kasan/common.c:338) kmem_cache_alloc_noprof (mm/slub.c:3941 mm/slub.c:4000 mm/slub.c:4007) sk_prot_alloc (net/core/sock.c:2075) sk_alloc (net/core/sock.c:2134) inet_create (net/ipv4/af_inet.c:327 net/ipv4/af_inet.c:252) __sock_create (net/socket.c:1572) __sys_socket (net/socket.c:1660 net/socket.c:1644 net/socket.c:1706) __x64_sys_socket (net/socket.c:1718) do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Freed by task 299 on cpu 2 at 78.328502s: kasan_save_stack (mm/kasan/common.c:48) kasan_save_track (mm/kasan/common.c:68) kasan_save_free_info (mm/kasan/generic.c:582) poison_slab_object (mm/kasan/common.c:242) __kasan_slab_free (mm/kasan/common.c:256) kmem_cache_free (mm/slub.c:4437 mm/slub.c:4511) __sk_destruct (net/core/sock.c:2117 net/core/sock.c:2208) inet_create (net/ipv4/af_inet.c:397 net/ipv4/af_inet.c:252) __sock_create (net/socket.c:1572) __sys_socket (net/socket.c:1660 net/socket.c:1644 net/socket.c:1706) __x64_sys_socket (net/socket.c:1718) do_syscall_64 (arch/x86/entry/common.c:52 arch/x86/entry/common.c:83) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) Fix this by clearing the struct socket reference in sk_common_release() to cover all protocol families create functions, which may already attached the reference to the sk object with sock_init_data(). Уязвимость функции sk_common_release() в модуле net/core/sock.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dmaengine: idxd: Fix possible Use-After-Free in irq_process_work_list Use list_for_each_entry_safe() to allow iterating through the list and deleting the entry in the iteration process. The descriptor is freed via idxd_desc_complete() and there's a slight chance may cause issue for the list iterator when the descriptor is reused by another thread without it being deleted from the list. Уязвимость функции irq_process_work_list() в модуле drivers/dma/idxd/irq.c драйвера DMA ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netns: Make get_net_ns() handle zero refcount net Syzkaller hit a warning: refcount_t: addition on 0; use-after-free. WARNING: CPU: 3 PID: 7890 at lib/refcount.c:25 refcount_warn_saturate+0xdf/0x1d0 Modules linked in: CPU: 3 PID: 7890 Comm: tun Not tainted 6.10.0-rc3-00100-gcaa4f9578aba-dirty #310 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:refcount_warn_saturate+0xdf/0x1d0 Code: 41 49 04 31 ff 89 de e8 9f 1e cd fe 84 db 75 9c e8 76 26 cd fe c6 05 b6 41 49 04 01 90 48 c7 c7 b8 8e 25 86 e8 d2 05 b5 fe 90 <0f> 0b 90 90 e9 79 ff ff ff e8 53 26 cd fe 0f b6 1 RSP: 0018:ffff8881067b7da0 EFLAGS: 00010286 RAX: 0000000000000000 RBX: 0000000000000000 RCX: ffffffff811c72ac RDX: ffff8881026a2140 RSI: ffffffff811c72b5 RDI: 0000000000000001 RBP: ffff8881067b7db0 R08: 0000000000000000 R09: 205b5d3730353139 R10: 0000000000000000 R11: 205d303938375420 R12: ffff8881086500c4 R13: ffff8881086500c4 R14: ffff8881086500b0 R15: ffff888108650040 FS: 00007f5b2961a4c0(0000) GS:ffff88823bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055d7ed36fd18 CR3: 00000001482f6000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ? show_regs+0xa3/0xc0 ? __warn+0xa5/0x1c0 ? refcount_warn_saturate+0xdf/0x1d0 ? report_bug+0x1fc/0x2d0 ? refcount_warn_saturate+0xdf/0x1d0 ? handle_bug+0xa1/0x110 ? exc_invalid_op+0x3c/0xb0 ? asm_exc_invalid_op+0x1f/0x30 ? __warn_printk+0xcc/0x140 ? __warn_printk+0xd5/0x140 ? refcount_warn_saturate+0xdf/0x1d0 get_net_ns+0xa4/0xc0 ? __pfx_get_net_ns+0x10/0x10 open_related_ns+0x5a/0x130 __tun_chr_ioctl+0x1616/0x2370 ? __sanitizer_cov_trace_switch+0x58/0xa0 ? __sanitizer_cov_trace_const_cmp2+0x1c/0x30 ? __pfx_tun_chr_ioctl+0x10/0x10 tun_chr_ioctl+0x2f/0x40 __x64_sys_ioctl+0x11b/0x160 x64_sys_call+0x1211/0x20d0 do_syscall_64+0x9e/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f5b28f165d7 Code: b3 66 90 48 8b 05 b1 48 2d 00 64 c7 00 26 00 00 00 48 c7 c0 ff ff ff ff c3 66 2e 0f 1f 84 00 00 00 00 00 b8 10 00 00 00 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 81 48 2d 00 8 RSP: 002b:00007ffc2b59c5e8 EFLAGS: 00000246 ORIG_RAX: 0000000000000010 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f5b28f165d7 RDX: 0000000000000000 RSI: 00000000000054e3 RDI: 0000000000000003 RBP: 00007ffc2b59c650 R08: 00007f5b291ed8c0 R09: 00007f5b2961a4c0 R10: 0000000029690010 R11: 0000000000000246 R12: 0000000000400730 R13: 00007ffc2b59cf40 R14: 0000000000000000 R15: 0000000000000000 </TASK> Kernel panic - not syncing: kernel: panic_on_warn set ... This is trigger as below: ns0 ns1 tun_set_iff() //dev is tun0 tun->dev = dev //ip link set tun0 netns ns1 put_net() //ref is 0 __tun_chr_ioctl() //TUNGETDEVNETNS net = dev_net(tun->dev); open_related_ns(&net->ns, get_net_ns); //ns1 get_net_ns() get_net() //addition on 0 Use maybe_get_net() in get_net_ns in case net's ref is zero to fix this Уязвимость функции get_net_ns() в модуле net/core/net_namespace.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid splat in pskb_pull_reason syzkaller builds (CONFIG_DEBUG_NET=y) frequently trigger a debug hint in pskb_may_pull. We'd like to retain this debug check because it might hint at integer overflows and other issues (kernel code should pull headers, not huge value). In bpf case, this splat isn't interesting at all: such (nonsensical) bpf programs are typically generated by a fuzzer anyway. Do what Eric suggested and suppress such warning. For CONFIG_DEBUG_NET=n we don't need the extra check because pskb_may_pull will do the right thing: return an error without the WARN() backtrace. Уязвимость функции __bpf_try_make_writable() (net/core/filter.c) подсистемы bpf ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block/ioctl: prefer different overflow check Running syzkaller with the newly reintroduced signed integer overflow sanitizer shows this report: [ 62.982337] ------------[ cut here ]------------ [ 62.985692] cgroup: Invalid name [ 62.986211] UBSAN: signed-integer-overflow in ../block/ioctl.c:36:46 [ 62.989370] 9pnet_fd: p9_fd_create_tcp (7343): problem connecting socket to 127.0.0.1 [ 62.992992] 9223372036854775807 + 4095 cannot be represented in type 'long long' [ 62.997827] 9pnet_fd: p9_fd_create_tcp (7345): problem connecting socket to 127.0.0.1 [ 62.999369] random: crng reseeded on system resumption [ 63.000634] GUP no longer grows the stack in syz-executor.2 (7353): 20002000-20003000 (20001000) [ 63.000668] CPU: 0 PID: 7353 Comm: syz-executor.2 Not tainted 6.8.0-rc2-00035-gb3ef86b5a957 #1 [ 63.000677] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-debian-1.16.3-2 04/01/2014 [ 63.000682] Call Trace: [ 63.000686] <TASK> [ 63.000731] dump_stack_lvl+0x93/0xd0 [ 63.000919] __get_user_pages+0x903/0xd30 [ 63.001030] __gup_longterm_locked+0x153e/0x1ba0 [ 63.001041] ? _raw_read_unlock_irqrestore+0x17/0x50 [ 63.001072] ? try_get_folio+0x29c/0x2d0 [ 63.001083] internal_get_user_pages_fast+0x1119/0x1530 [ 63.001109] iov_iter_extract_pages+0x23b/0x580 [ 63.001206] bio_iov_iter_get_pages+0x4de/0x1220 [ 63.001235] iomap_dio_bio_iter+0x9b6/0x1410 [ 63.001297] __iomap_dio_rw+0xab4/0x1810 [ 63.001316] iomap_dio_rw+0x45/0xa0 [ 63.001328] ext4_file_write_iter+0xdde/0x1390 [ 63.001372] vfs_write+0x599/0xbd0 [ 63.001394] ksys_write+0xc8/0x190 [ 63.001403] do_syscall_64+0xd4/0x1b0 [ 63.001421] ? arch_exit_to_user_mode_prepare+0x3a/0x60 [ 63.001479] entry_SYSCALL_64_after_hwframe+0x6f/0x77 [ 63.001535] RIP: 0033:0x7f7fd3ebf539 [ 63.001551] Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 f1 14 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 [ 63.001562] RSP: 002b:00007f7fd32570c8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 [ 63.001584] RAX: ffffffffffffffda RBX: 00007f7fd3ff3f80 RCX: 00007f7fd3ebf539 [ 63.001590] RDX: 4db6d1e4f7e43360 RSI: 0000000020000000 RDI: 0000000000000004 [ 63.001595] RBP: 00007f7fd3f1e496 R08: 0000000000000000 R09: 0000000000000000 [ 63.001599] R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000000 [ 63.001604] R13: 0000000000000006 R14: 00007f7fd3ff3f80 R15: 00007ffd415ad2b8 ... [ 63.018142] ---[ end trace ]--- Historically, the signed integer overflow sanitizer did not work in the kernel due to its interaction with `-fwrapv` but this has since been changed [1] in the newest version of Clang; It was re-enabled in the kernel with Commit 557f8c582a9ba8ab ("ubsan: Reintroduce signed overflow sanitizer"). Let's rework this overflow checking logic to not actually perform an overflow during the check itself, thus avoiding the UBSAN splat. [1]: https://github.com/llvm/llvm-project/pull/82432 Уязвимость функции blkpg_do_ioctl() в модуле block/ioctl.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ethernet: lantiq_etop: fix double free in detach The number of the currently released descriptor is never incremented which results in the same skb being released multiple times. Уязвимость функции ltq_etop_free_channel() в модуле drivers/net/ethernet/lantiq_etop.c драйвера Ethernet ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: filelock: fix potential use-after-free in posix_lock_inode Light Hsieh reported a KASAN UAF warning in trace_posix_lock_inode(). The request pointer had been changed earlier to point to a lock entry that was added to the inode's list. However, before the tracepoint could fire, another task raced in and freed that lock. Fix this by moving the tracepoint inside the spinlock, which should ensure that this doesn't happen. Уязвимость функции posix_lock_inode() в модуле fs/locks.c ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: PPC: Book3S HV: Prevent UAF in kvm_spapr_tce_attach_iommu_group() Al reported a possible use-after-free (UAF) in kvm_spapr_tce_attach_iommu_group(). It looks up `stt` from tablefd, but then continues to use it after doing fdput() on the returned fd. After the fdput() the tablefd is free to be closed by another thread. The close calls kvm_spapr_tce_release() and then release_spapr_tce_table() (via call_rcu()) which frees `stt`. Although there are calls to rcu_read_lock() in kvm_spapr_tce_attach_iommu_group() they are not sufficient to prevent the UAF, because `stt` is used outside the locked regions. With an artifcial delay after the fdput() and a userspace program which triggers the race, KASAN detects the UAF: BUG: KASAN: slab-use-after-free in kvm_spapr_tce_attach_iommu_group+0x298/0x720 [kvm] Read of size 4 at addr c000200027552c30 by task kvm-vfio/2505 CPU: 54 PID: 2505 Comm: kvm-vfio Not tainted 6.10.0-rc3-next-20240612-dirty #1 Hardware name: 8335-GTH POWER9 0x4e1202 opal:skiboot-v6.5.3-35-g1851b2a06 PowerNV Call Trace: dump_stack_lvl+0xb4/0x108 (unreliable) print_report+0x2b4/0x6ec kasan_report+0x118/0x2b0 __asan_load4+0xb8/0xd0 kvm_spapr_tce_attach_iommu_group+0x298/0x720 [kvm] kvm_vfio_set_attr+0x524/0xac0 [kvm] kvm_device_ioctl+0x144/0x240 [kvm] sys_ioctl+0x62c/0x1810 system_call_exception+0x190/0x440 system_call_vectored_common+0x15c/0x2ec ... Freed by task 0: ... kfree+0xec/0x3e0 release_spapr_tce_table+0xd4/0x11c [kvm] rcu_core+0x568/0x16a0 handle_softirqs+0x23c/0x920 do_softirq_own_stack+0x6c/0x90 do_softirq_own_stack+0x58/0x90 __irq_exit_rcu+0x218/0x2d0 irq_exit+0x30/0x80 arch_local_irq_restore+0x128/0x230 arch_local_irq_enable+0x1c/0x30 cpuidle_enter_state+0x134/0x5cc cpuidle_enter+0x6c/0xb0 call_cpuidle+0x7c/0x100 do_idle+0x394/0x410 cpu_startup_entry+0x60/0x70 start_secondary+0x3fc/0x410 start_secondary_prolog+0x10/0x14 Fix it by delaying the fdput() until `stt` is no longer in use, which is effectively the entire function. To keep the patch minimal add a call to fdput() at each of the existing return paths. Future work can convert the function to goto or __cleanup style cleanup. With the fix in place the test case no longer triggers the UAF. Уязвимость функции kvm_spapr_tce_attach_iommu_group() в модуле arch/powerpc/kvm/book3s_64_vio.c подсистемы виртуализации Kernel-based Virtual Machine (KVM) ядра операционной системы Linux на платформе PowerPC связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nvme: avoid double free special payload If a discard request needs to be retried, and that retry may fail before a new special payload is added, a double free will result. Clear the RQF_SPECIAL_LOAD when the request is cleaned. Уязвимость функции nvme_cleanup_cmd() в модуле drivers/nvme/host/core.c драйвера NVMe ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ata: libata-core: Fix double free on error If e.g. the ata_port_alloc() call in ata_host_alloc() fails, we will jump to the err_out label, which will call devres_release_group(). devres_release_group() will trigger a call to ata_host_release(). ata_host_release() calls kfree(host), so executing the kfree(host) in ata_host_alloc() will lead to a double free: kernel BUG at mm/slub.c:553! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 11 PID: 599 Comm: (udev-worker) Not tainted 6.10.0-rc5 #47 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:kfree+0x2cf/0x2f0 Code: 5d 41 5e 41 5f 5d e9 80 d6 ff ff 4d 89 f1 41 b8 01 00 00 00 48 89 d9 48 89 da RSP: 0018:ffffc90000f377f0 EFLAGS: 00010246 RAX: ffff888112b1f2c0 RBX: ffff888112b1f2c0 RCX: ffff888112b1f320 RDX: 000000000000400b RSI: ffffffffc02c9de5 RDI: ffff888112b1f2c0 RBP: ffffc90000f37830 R08: 0000000000000000 R09: 0000000000000000 R10: ffffc90000f37610 R11: 617461203a736b6e R12: ffffea00044ac780 R13: ffff888100046400 R14: ffffffffc02c9de5 R15: 0000000000000006 FS: 00007f2f1cabe980(0000) GS:ffff88813b380000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f2f1c3acf75 CR3: 0000000111724000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? __die_body.cold+0x19/0x27 ? die+0x2e/0x50 ? do_trap+0xca/0x110 ? do_error_trap+0x6a/0x90 ? kfree+0x2cf/0x2f0 ? exc_invalid_op+0x50/0x70 ? kfree+0x2cf/0x2f0 ? asm_exc_invalid_op+0x1a/0x20 ? ata_host_alloc+0xf5/0x120 [libata] ? ata_host_alloc+0xf5/0x120 [libata] ? kfree+0x2cf/0x2f0 ata_host_alloc+0xf5/0x120 [libata] ata_host_alloc_pinfo+0x14/0xa0 [libata] ahci_init_one+0x6c9/0xd20 [ahci] Ensure that we will not call kfree(host) twice, by performing the kfree() only if the devres_open_group() call failed. Уязвимость функции ata_host_alloc() в модуле drivers/ata/libata-core.c драйвера ATA ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/gt: Fix potential UAF by revoke of fence registers CI has been sporadically reporting the following issue triggered by igt@i915_selftest@live@hangcheck on ADL-P and similar machines: <6> [414.049203] i915: Running intel_hangcheck_live_selftests/igt_reset_evict_fence ... <6> [414.068804] i915 0000:00:02.0: [drm] GT0: GUC: submission enabled <6> [414.068812] i915 0000:00:02.0: [drm] GT0: GUC: SLPC enabled <3> [414.070354] Unable to pin Y-tiled fence; err:-4 <3> [414.071282] i915_vma_revoke_fence:301 GEM_BUG_ON(!i915_active_is_idle(&fence->active)) ... <4>[ 609.603992] ------------[ cut here ]------------ <2>[ 609.603995] kernel BUG at drivers/gpu/drm/i915/gt/intel_ggtt_fencing.c:301! <4>[ 609.604003] invalid opcode: 0000 [#1] PREEMPT SMP NOPTI <4>[ 609.604006] CPU: 0 PID: 268 Comm: kworker/u64:3 Tainted: G U W 6.9.0-CI_DRM_14785-g1ba62f8cea9c+ #1 <4>[ 609.604008] Hardware name: Intel Corporation Alder Lake Client Platform/AlderLake-P DDR4 RVP, BIOS RPLPFWI1.R00.4035.A00.2301200723 01/20/2023 <4>[ 609.604010] Workqueue: i915 __i915_gem_free_work [i915] <4>[ 609.604149] RIP: 0010:i915_vma_revoke_fence+0x187/0x1f0 [i915] ... <4>[ 609.604271] Call Trace: <4>[ 609.604273] <TASK> ... <4>[ 609.604716] __i915_vma_evict+0x2e9/0x550 [i915] <4>[ 609.604852] __i915_vma_unbind+0x7c/0x160 [i915] <4>[ 609.604977] force_unbind+0x24/0xa0 [i915] <4>[ 609.605098] i915_vma_destroy+0x2f/0xa0 [i915] <4>[ 609.605210] __i915_gem_object_pages_fini+0x51/0x2f0 [i915] <4>[ 609.605330] __i915_gem_free_objects.isra.0+0x6a/0xc0 [i915] <4>[ 609.605440] process_scheduled_works+0x351/0x690 ... In the past, there were similar failures reported by CI from other IGT tests, observed on other platforms. Before commit 63baf4f3d587 ("drm/i915/gt: Only wait for GPU activity before unbinding a GGTT fence"), i915_vma_revoke_fence() was waiting for idleness of vma->active via fence_update(). That commit introduced vma->fence->active in order for the fence_update() to be able to wait selectively on that one instead of vma->active since only idleness of fence registers was needed. But then, another commit 0d86ee35097a ("drm/i915/gt: Make fence revocation unequivocal") replaced the call to fence_update() in i915_vma_revoke_fence() with only fence_write(), and also added that GEM_BUG_ON(!i915_active_is_idle(&fence->active)) in front. No justification was provided on why we might then expect idleness of vma->fence->active without first waiting on it. The issue can be potentially caused by a race among revocation of fence registers on one side and sequential execution of signal callbacks invoked on completion of a request that was using them on the other, still processed in parallel to revocation of those fence registers. Fix it by waiting for idleness of vma->fence->active in i915_vma_revoke_fence(). (cherry picked from commit 24bb052d3dd499c5956abad5f7d8e4fd07da7fb1) Уязвимость функции i915_vma_revoke_fence() в модуле drivers/gpu/drm/i915/gt/intel_ggtt_fencing.c драйвера видеокарт Intel 8xx/9xx/G3x/G4x/HD ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: PCI/MSI: Fix UAF in msi_capability_init KFENCE reports the following UAF: BUG: KFENCE: use-after-free read in __pci_enable_msi_range+0x2c0/0x488 Use-after-free read at 0x0000000024629571 (in kfence-#12): __pci_enable_msi_range+0x2c0/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 kfence-#12: 0x0000000008614900-0x00000000e06c228d, size=104, cache=kmalloc-128 allocated by task 81 on cpu 7 at 10.808142s: __kmem_cache_alloc_node+0x1f0/0x2bc kmalloc_trace+0x44/0x138 msi_alloc_desc+0x3c/0x9c msi_domain_insert_msi_desc+0x30/0x78 msi_setup_msi_desc+0x13c/0x184 __pci_enable_msi_range+0x258/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 freed by task 81 on cpu 7 at 10.811436s: msi_domain_free_descs+0xd4/0x10c msi_domain_free_locked.part.0+0xc0/0x1d8 msi_domain_alloc_irqs_all_locked+0xb4/0xbc pci_msi_setup_msi_irqs+0x30/0x4c __pci_enable_msi_range+0x2a8/0x488 pci_alloc_irq_vectors_affinity+0xec/0x14c pci_alloc_irq_vectors+0x18/0x28 Descriptor allocation done in: __pci_enable_msi_range msi_capability_init msi_setup_msi_desc msi_insert_msi_desc msi_domain_insert_msi_desc msi_alloc_desc ... Freed in case of failure in __msi_domain_alloc_locked() __pci_enable_msi_range msi_capability_init pci_msi_setup_msi_irqs msi_domain_alloc_irqs_all_locked msi_domain_alloc_locked __msi_domain_alloc_locked => fails msi_domain_free_locked ... That failure propagates back to pci_msi_setup_msi_irqs() in msi_capability_init() which accesses the descriptor for unmasking in the error exit path. Cure it by copying the descriptor and using the copy for the error exit path unmask operation. [ tglx: Massaged change log ] Уязвимость функции msi_capability_init() в модуле drivers/pci/msi/msi.c драйвера Message Signaled Interrupts (MSI and MSI-X) ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 docker.io-app Moby is an open-source project created by Docker for software containerization. A security vulnerability has been detected in certain versions of Docker Engine, which could allow an attacker to bypass authorization plugins (AuthZ) under specific circumstances. The base likelihood of this being exploited is low. Using a specially-crafted API request, an Engine API client could make the daemon forward the request or response to an authorization plugin without the body. In certain circumstances, the authorization plugin may allow a request which it would have otherwise denied if the body had been forwarded to it. A security issue was discovered In 2018, where an attacker could bypass AuthZ plugins using a specially crafted API request. This could lead to unauthorized actions, including privilege escalation. Although this issue was fixed in Docker Engine v18.09.1 in January 2019, the fix was not carried forward to later major versions, resulting in a regression. Anyone who depends on authorization plugins that introspect the request and/or response body to make access control decisions is potentially impacted. Docker EE v19.03.x and all versions of Mirantis Container Runtime are not vulnerable. docker-ce v27.1.1 containes patches to fix the vulnerability. Patches have also been merged into the master, 19.03, 20.0, 23.0, 24.0, 25.0, 26.0, and 26.1 release branches. If one is unable to upgrade immediately, avoid using AuthZ plugins and/or restrict access to the Docker API to trusted parties, following the principle of least privilege. Уязвимость плагинов авторизации (AuthZ) средства автоматизации развёртывания и управления приложениями в средах с поддержкой контейнеризации Docker связана с неправильной авторизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-187')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=9.9) Для нейтрализации угрозы эксплуатации уязвимости необходимо отключить плагины авторизации (AuthZ): 1) Выполнить остановку Docker: `sudo systemctl stop docker` 2) Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл **/etc/docker/daemon.json** (если файл **daemon.json** отсутствует - создать его). 3) Добавить или отредактировать в файле строку, содержащую ключ **authorization-plugins** и его значение: `"authorization-plugins": []` Если файл **daemon.json** пустой, необходимо добавить в него следующие строки: `{` ` "authorization-plugins": []` `}` 4) Выполнить запуск Docker: `sudo systemctl start docker` Astra Linux 1.8 libheif In Libheif 1.17.6, insufficient checks in ImageOverlay::parse() decoding a heif file containing an overlay image with forged offsets can lead to an out-of-bounds read and write. Уязвимость функция ImageOverlay::parse компонента Overlay Image Handler библиотеки кодирования и декодирования файлов HEIF и AVIF Libheif связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Для нейтрализации угрозы эксплуатации уязвимости воспользуйтесь одним из следующих способов: 1. Удалить ПО libheif, если оно не используется и не является зависимостью других используемых пакетов 2. При использовании ПО libheif выполнять обработку файлов, полученных только из доверенных источников Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/dpaa2: Avoid explicit cpumask var allocation on stack For CONFIG_CPUMASK_OFFSTACK=y kernel, explicit allocation of cpumask variable on stack is not recommended since it can cause potential stack overflow. Instead, kernel code should always use *cpumask_var API(s) to allocate cpumask var in config-neutral way, leaving allocation strategy to CONFIG_CPUMASK_OFFSTACK. Use *cpumask_var API(s) to address it. Уязвимость функции update_xps() в модуле drivers/net/ethernet/freescale/dpaa2/dpaa2-eth.c драйвера сетевых адаптеров Freescale DPAA2 ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/iucv: Avoid explicit cpumask var allocation on stack For CONFIG_CPUMASK_OFFSTACK=y kernel, explicit allocation of cpumask variable on stack is not recommended since it can cause potential stack overflow. Instead, kernel code should always use *cpumask_var API(s) to allocate cpumask var in config-neutral way, leaving allocation strategy to CONFIG_CPUMASK_OFFSTACK. Use *cpumask_var API(s) to address it. Уязвимость функции iucv_cpu_down_prep() в модуле net/iucv/iucv.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp_metrics: validate source addr length I don't see anything checking that TCP_METRICS_ATTR_SADDR_IPV4 is at least 4 bytes long, and the policy doesn't have an entry for this attribute at all (neither does it for IPv6 but v6 is manually validated). Уязвимость компонента net/ipv4/tcp_metrics.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:L/A:N', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Sanitise num_phys Information is stored in mr_sas_port->phy_mask, values larger then size of this field shouldn't be allowed. Уязвимость функции mpi3mr_sas_port_add() в модуле drivers/scsi/mpi3mr/mpi3mr_transport.c драйвера устройств Broadcom MPI3 ядра операционной системы Linux связана с отсутствием проверки допустимых значений. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: check validation of fault attrs in f2fs_build_fault_attr() - It missed to check validation of fault attrs in parse_options(), let's fix to add check condition in f2fs_build_fault_attr(). - Use f2fs_build_fault_attr() in __sbi_store() to clean up code. Уязвимость функции f2fs_build_fault_attr() в модуле fs/f2fs/super.c файловой системы f2fs ядра операционной системы Linux связана с отсутствием проверки входных данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Avoid uninitialized value in BPF_CORE_READ_BITFIELD [Changes from V1: - Use a default branch in the switch statement to initialize `val'.] GCC warns that `val' may be used uninitialized in the BPF_CRE_READ_BITFIELD macro, defined in bpf_core_read.h as: [...] unsigned long long val; \ [...] \ switch (__CORE_RELO(s, field, BYTE_SIZE)) { \ case 1: val = *(const unsigned char *)p; break; \ case 2: val = *(const unsigned short *)p; break; \ case 4: val = *(const unsigned int *)p; break; \ case 8: val = *(const unsigned long long *)p; break; \ } \ [...] val; \ } \ This patch adds a default entry in the switch statement that sets `val' to zero in order to avoid the warning, and random values to be used in case __builtin_preserve_field_info returns unexpected values for BPF_FIELD_BYTE_SIZE. Tested in bpf-next master. No regressions. Уязвимость макроопределения BPF_CORE_READ_BITFIELD компонента bpf ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:L/I:H/A:H', score=6.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: dsa: mv88e6xxx: Correct check for empty list Since commit a3c53be55c95 ("net: dsa: mv88e6xxx: Support multiple MDIO busses") mv88e6xxx_default_mdio_bus() has checked that the return value of list_first_entry() is non-NULL. This appears to be intended to guard against the list chip->mdios being empty. However, it is not the correct check as the implementation of list_first_entry is not designed to return NULL for empty lists. Instead, use list_first_entry_or_null() which does return NULL if the list is empty. Flagged by Smatch. Compile tested only. Уязвимость функции mv88e6xxx_default_mdio_bus() компонента drivers/net/dsa/mv88e6xxx/chip.c ядра операционной системы Linux связана с недостаточной проверкой необычных или исключительных состояний. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: replace skb_put with skb_put_zero Avoid potentially reusing uninitialized data Уязвимость функции mt76_connac_mcu_add_nested_tlv() в модуле drivers/net/wireless/mediatek/mt76/mt76_connac_mcu.c драйвера MediaTek ядра операционной системы Linux связана с отсутствием инициализации переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/iucv: fix use after free in iucv_sock_close() iucv_sever_path() is called from process context and from bh context. iucv->path is used as indicator whether somebody else is taking care of severing the path (or it is already removed / never existed). This needs to be done with atomic compare and swap, otherwise there is a small window where iucv_sock_close() will try to work with a path that has already been severed and freed by iucv_callback_connrej() called by iucv_tasklet_fn(). Example: [452744.123844] Call Trace: [452744.123845] ([<0000001e87f03880>] 0x1e87f03880) [452744.123966] [<00000000d593001e>] iucv_path_sever+0x96/0x138 [452744.124330] [<000003ff801ddbca>] iucv_sever_path+0xc2/0xd0 [af_iucv] [452744.124336] [<000003ff801e01b6>] iucv_sock_close+0xa6/0x310 [af_iucv] [452744.124341] [<000003ff801e08cc>] iucv_sock_release+0x3c/0xd0 [af_iucv] [452744.124345] [<00000000d574794e>] __sock_release+0x5e/0xe8 [452744.124815] [<00000000d5747a0c>] sock_close+0x34/0x48 [452744.124820] [<00000000d5421642>] __fput+0xba/0x268 [452744.124826] [<00000000d51b382c>] task_work_run+0xbc/0xf0 [452744.124832] [<00000000d5145710>] do_notify_resume+0x88/0x90 [452744.124841] [<00000000d5978096>] system_call+0xe2/0x2c8 [452744.125319] Last Breaking-Event-Address: [452744.125321] [<00000000d5930018>] iucv_path_sever+0x90/0x138 [452744.125324] [452744.125325] Kernel panic - not syncing: Fatal exception in interrupt Note that bh_lock_sock() is not serializing the tasklet context against process context, because the check for sock_owned_by_user() and corresponding handling is missing. Ideas for a future clean-up patch: A) Correct usage of bh_lock_sock() in tasklet context, as described in Re-enqueue, if needed. This may require adding return values to the tasklet functions and thus changes to all users of iucv. B) Change iucv tasklet into worker and use only lock_sock() in af_iucv. Уязвимость функции iucv_sever_path() в модуле net/iucv/af_iucv.c драйвера IUCV ядра операционной системы Linux на платформе s/390 связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: Return non-zero value from tipc_udp_addr2str() on error tipc_udp_addr2str() should return non-zero value if the UDP media address is invalid. Otherwise, a buffer overflow access can occur in tipc_media_addr_printf(). Fix this by returning 1 on an invalid UDP media address. Уязвимость функции tipc_udp_addr2str() в модуле net/tipc/udp_media.c реализации протокола TIPC (Transparent Inter Process Communication) ядра операционной системы Linux связана с переполнением выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/iwcm: Fix a use-after-free related to destroying CM IDs iw_conn_req_handler() associates a new struct rdma_id_private (conn_id) with an existing struct iw_cm_id (cm_id) as follows: conn_id->cm_id.iw = cm_id; cm_id->context = conn_id; cm_id->cm_handler = cma_iw_handler; rdma_destroy_id() frees both the cm_id and the struct rdma_id_private. Make sure that cm_work_handler() does not trigger a use-after-free by only freeing of the struct rdma_id_private after all pending work has finished. Уязвимость компонента drivers/infiniband/core/iwcm.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dev/parport: fix the array out-of-bounds risk Fixed array out-of-bounds issues caused by sprintf by replacing it with snprintf for safer data copying, ensuring the destination buffer is not overflowed. Below is the stack trace I encountered during the actual issue: [ 66.575408s] [pid:5118,cpu4,QThread,4]Kernel panic - not syncing: stack-protector: Kernel stack is corrupted in: do_hardware_base_addr+0xcc/0xd0 [parport] [ 66.575408s] [pid:5118,cpu4,QThread,5]CPU: 4 PID: 5118 Comm: QThread Tainted: G S W O 5.10.97-arm64-desktop #7100.57021.2 [ 66.575439s] [pid:5118,cpu4,QThread,6]TGID: 5087 Comm: EFileApp [ 66.575439s] [pid:5118,cpu4,QThread,7]Hardware name: HUAWEI HUAWEI QingYun PGUX-W515x-B081/SP1PANGUXM, BIOS 1.00.07 04/29/2024 [ 66.575439s] [pid:5118,cpu4,QThread,8]Call trace: [ 66.575469s] [pid:5118,cpu4,QThread,9] dump_backtrace+0x0/0x1c0 [ 66.575469s] [pid:5118,cpu4,QThread,0] show_stack+0x14/0x20 [ 66.575469s] [pid:5118,cpu4,QThread,1] dump_stack+0xd4/0x10c [ 66.575500s] [pid:5118,cpu4,QThread,2] panic+0x1d8/0x3bc [ 66.575500s] [pid:5118,cpu4,QThread,3] __stack_chk_fail+0x2c/0x38 [ 66.575500s] [pid:5118,cpu4,QThread,4] do_hardware_base_addr+0xcc/0xd0 [parport] Уязвимость функции do_hardware_base_addr() в модуле drivers/parport/procfs.c драйвера параллельного порта ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: venus: fix use after free in vdec_close There appears to be a possible use after free with vdec_close(). The firmware will add buffer release work to the work queue through HFI callbacks as a normal part of decoding. Randomly closing the decoder device from userspace during normal decoding can incur a read after free for inst. Fix it by cancelling the work in vdec_close. Уязвимость функции vdec_close() компонента drivers/media/platform/qcom/venus/vdec.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix extent map use-after-free when adding pages to compressed bio At add_ra_bio_pages() we are accessing the extent map to calculate 'add_size' after we dropped our reference on the extent map, resulting in a use-after-free. Fix this by computing 'add_size' before dropping our extent map reference. Уязвимость функции add_ra_bio_pages() в модуле fs/btrfs/compression.c файловой системы btrfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 flatpak Flatpak is a Linux application sandboxing and distribution framework. Prior to versions 1.14.0 and 1.15.10, a malicious or compromised Flatpak app using persistent directories could access and write files outside of what it would otherwise have access to, which is an attack on integrity and confidentiality. When `persistent=subdir` is used in the application permissions (represented as `--persist=subdir` in the command-line interface), that means that an application which otherwise doesn't have access to the real user home directory will see an empty home directory with a writeable subdirectory `subdir`. Behind the scenes, this directory is actually a bind mount and the data is stored in the per-application directory as `~/.var/app/$APPID/subdir`. This allows existing apps that are not aware of the per-application directory to still work as intended without general home directory access. However, the application does have write access to the application directory `~/.var/app/$APPID` where this directory is stored. If the source directory for the `persistent`/`--persist` option is replaced by a symlink, then the next time the application is started, the bind mount will follow the symlink and mount whatever it points to into the sandbox. Partial protection against this vulnerability can be provided by patching Flatpak using the patches in commits ceec2ffc and 98f79773. However, this leaves a race condition that could be exploited by two instances of a malicious app running in parallel. Closing the race condition requires updating or patching the version of bubblewrap that is used by Flatpak to add the new `--bind-fd` option using the patch and then patching Flatpak to use it. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=bwrap` (1.15.x) or `--with-system-bubblewrap=bwrap` (1.14.x or older), or a similar option, then the version of bubblewrap that needs to be patched is a system copy that is distributed separately, typically `/usr/bin/bwrap`. This configuration is the one that is typically used in Linux distributions. If Flatpak has been configured at build-time with `-Dsystem_bubblewrap=` (1.15.x) or with `--without-system-bubblewrap` (1.14.x or older), then it is the bundled version of bubblewrap that is included with Flatpak that must be patched. This is typically installed as `/usr/libexec/flatpak-bwrap`. This configuration is the default when building from source code. For the 1.14.x stable branch, these changes are included in Flatpak 1.14.10. The bundled version of bubblewrap included in this release has been updated to 0.6.3. For the 1.15.x development branch, these changes are included in Flatpak 1.15.10. The bundled version of bubblewrap in this release is a Meson "wrap" subproject, which has been updated to 0.10.0. The 1.12.x and 1.10.x branches will not be updated for this vulnerability. Long-term support OS distributions should backport the individual changes into their versions of Flatpak and bubblewrap, or update to newer versions if their stability policy allows it. As a workaround, avoid using applications using the `persistent` (`--persist`) permission. Уязвимость инструмента для управления приложениями и средами Flatpak связана с неправильной нейтрализацией специальных элементов на выходе, используемых нижестоящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N', score=10.0) Это касается только приложений, использующих `--persist` . Вы можете просмотреть список всех приложений, использующих эту функцию, следующим образом: ```b $ for app in $(flatpak list --app --columns=application | tail -n +1) ; do \ flatpak info -m $app | grep persistent= -H --label="$app"; \ done``` Astra Linux 1.8 postgresql-15 Missing authorization in PostgreSQL built-in views pg_stats_ext and pg_stats_ext_exprs allows an unprivileged database user to read most common values and other statistics from CREATE STATISTICS commands of other users. The most common values may reveal column values the eavesdropper could not otherwise read or results of functions they cannot execute. Installing an unaffected version only fixes fresh PostgreSQL installations, namely those that are created with the initdb utility after installing that version. Current PostgreSQL installations will remain vulnerable until they follow the instructions in the release notes. Within major versions 14-16, minor versions before PostgreSQL 16.3, 15.7, and 14.12 are affected. Versions before PostgreSQL 14 are unaffected. Уязвимость системных представлений pg_stats_ext, pg_stats_ext_exprs реляционной СУБД PostgreSQL связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-862'), NistCWE(cwe='CWE-862')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:L/I:N/A:N', score=3.1) postgresql-15: - При использовании ПО postgresql выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail - Использовать выделенную группу postgres для взаимодействия с postgresql - Не подключайтесь к недоверенным серверам баз данных - Валидируйте длину данных и размер объектов во всех клиентских API и веб-интерфейсах. Блокируйте, отбрасывайте или обрезайте слишком большие строки, массивы и бинарные объекты до их передачи в SQL-запросы к базе данных - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jfs: Fix array-index-out-of-bounds in diFree Уязвимость функции diSync() в модуле fs/jfs/jfs_imap.c файловой системы jfs ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vhost/vsock: always initialize seqpacket_allow There are two issues around seqpacket_allow: 1. seqpacket_allow is not initialized when socket is created. Thus if features are never set, it will be read uninitialized. 2. if VIRTIO_VSOCK_F_SEQPACKET is set and then cleared, then seqpacket_allow will not be cleared appropriately (existing apps I know about don't usually do this but it's legal and there's no way to be sure no one relies on this). To fix: - initialize seqpacket_allow after allocation - set it unconditionally in set_features Уязвимость функции seqpacket_allow() ядра операционной системы Linux связана с некорректной инициализацией. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-909')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: xc2028: avoid use-after-free in load_firmware_cb() syzkaller reported use-after-free in load_firmware_cb() [1]. The reason is because the module allocated a struct tuner in tuner_probe(), and then the module initialization failed, the struct tuner was released. A worker which created during module initialization accesses this struct tuner later, it caused use-after-free. The process is as follows: task-6504 worker_thread tuner_probe <= alloc dvb_frontend [2] ... request_firmware_nowait <= create a worker ... tuner_remove <= free dvb_frontend ... request_firmware_work_func <= the firmware is ready load_firmware_cb <= but now the dvb_frontend has been freed To fix the issue, check the dvd_frontend in load_firmware_cb(), if it is null, report a warning and just return. [1]: ================================================================== BUG: KASAN: use-after-free in load_firmware_cb+0x1310/0x17a0 Read of size 8 at addr ffff8000d7ca2308 by task kworker/2:3/6504 Call trace: load_firmware_cb+0x1310/0x17a0 request_firmware_work_func+0x128/0x220 process_one_work+0x770/0x1824 worker_thread+0x488/0xea0 kthread+0x300/0x430 ret_from_fork+0x10/0x20 Allocated by task 6504: kzalloc tuner_probe+0xb0/0x1430 i2c_device_probe+0x92c/0xaf0 really_probe+0x678/0xcd0 driver_probe_device+0x280/0x370 __device_attach_driver+0x220/0x330 bus_for_each_drv+0x134/0x1c0 __device_attach+0x1f4/0x410 device_initial_probe+0x20/0x30 bus_probe_device+0x184/0x200 device_add+0x924/0x12c0 device_register+0x24/0x30 i2c_new_device+0x4e0/0xc44 v4l2_i2c_new_subdev_board+0xbc/0x290 v4l2_i2c_new_subdev+0xc8/0x104 em28xx_v4l2_init+0x1dd0/0x3770 Freed by task 6504: kfree+0x238/0x4e4 tuner_remove+0x144/0x1c0 i2c_device_remove+0xc8/0x290 __device_release_driver+0x314/0x5fc device_release_driver+0x30/0x44 bus_remove_device+0x244/0x490 device_del+0x350/0x900 device_unregister+0x28/0xd0 i2c_unregister_device+0x174/0x1d0 v4l2_device_unregister+0x224/0x380 em28xx_v4l2_init+0x1d90/0x3770 The buggy address belongs to the object at ffff8000d7ca2000 which belongs to the cache kmalloc-2k of size 2048 The buggy address is located 776 bytes inside of 2048-byte region [ffff8000d7ca2000, ffff8000d7ca2800) The buggy address belongs to the page: page:ffff7fe00035f280 count:1 mapcount:0 mapping:ffff8000c001f000 index:0x0 flags: 0x7ff800000000100(slab) raw: 07ff800000000100 ffff7fe00049d880 0000000300000003 ffff8000c001f000 raw: 0000000000000000 0000000080100010 00000001ffffffff 0000000000000000 page dumped because: kasan: bad access detected Memory state around the buggy address: ffff8000d7ca2200: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8000d7ca2280: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb >ffff8000d7ca2300: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ^ ffff8000d7ca2380: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ffff8000d7ca2400: fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb fb ================================================================== [2] Actually, it is allocated for struct tuner, and dvb_frontend is inside. Уязвимость функции load_firmware_cb() ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 expat An issue was discovered in libexpat before 2.6.3. xmlparse.c does not reject a negative length for XML_ParseBuffer. Уязвимость компонента xmlparse.c библиотеки для анализа XML-файлов Expat связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-611'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Для нейтрализации угрозы эксплуатации уязвимости для ПО expat необходимо выполнить одно из следующих требований: - При использовании ПО expat выполнять обработку файлов, полученных только из доверенных источников - По возможности запускайте приложения, использующие ПО expat, в изолированной программной среде с применением инструмента Firejail - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Для нейтрализации угрозы эксплуатации уязвимости для ПО libxmltok необходимо выполнить одно из следующих требований: - Удалить ПО libxmltok, если оно не используется и не является зависимостью других пакетов - Отказаться от использования библиотеки libxmltok в пользу ПО expat или libxml2 - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Включить режим замкнутой программной среды Astra Linux 1.8 webkit2gtk Use after free in ANGLE in Google Chrome prior to 124.0.6367.155 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость библиотеки ANGLE веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. An unchecked Implementation pointer in Pattern color space could lead to arbitrary code execution. Уязвимость компонента psi/zcolor.c набора программного обеспечения обработки документов Ghostscript связана с доступом к неинициализированному указателю. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-824'), NistCWE(cwe='CWE-824')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in pdf/pdf_xref.c in Artifex Ghostscript before 10.04.0. There is a buffer overflow during handling of a PDF XRef stream (related to W array values). Уязвимость компонента pdf/pdf_xref.c набора программного обеспечения обработки документов Ghostscript связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in base/gsdevice.c in Artifex Ghostscript before 10.04.0. An integer overflow when parsing the filename format string (for the output filename) results in path truncation, and possible path traversal and code execution. Уязвимость компонента base/gsdevice.c набора программного обеспечения обработки документов Ghostscript связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in psi/zcolor.c in Artifex Ghostscript before 10.04.0. There is an out-of-bounds read when reading color in Indexed color space. Уязвимость набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 ghostscript An issue was discovered in psi/zfile.c in Artifex Ghostscript before 10.04.0. Out-of-bounds data access in filenameforall can lead to arbitrary code execution. Уязвимость компонента psi/zfile.c набора программного обеспечения обработки документов Ghostscript связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) ghostscript: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать регламентный контроль целостности ОС и режим замкнутой программной среды Astra Linux 1.8 libcupsfilters CUPS is a standards-based, open-source printing system, and `libcupsfilters` contains the code of the filters of the former `cups-filters` package as library functions to be used for the data format conversion tasks needed in Printer Applications. The `cfGetPrinterAttributes5` function in `libcupsfilters` does not sanitize IPP attributes returned from an IPP server. When these IPP attributes are used, for instance, to generate a PPD file, this can lead to attacker controlled data to be provided to the rest of the CUPS system. Уязвимость функции cfGetPrinterAttributes5 компонента cupsfilters/ipp.c библиотеки libcupsfilters сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации уязвимости можно воспользоваться одним из трёх способов. ##### 1 способ. Отключение службы cups_browsed Остановить работу службы _cups-browsed_ и предотвратить ее запуск при перезагрузке с помощью следующих команд: ```b sudo systemctl stop cups-browsed sudo systemctl disable cups-browsed ``` ##### 2 способ. Изменение файла конфигурации /etc/cups/cups-browsed.conf 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл */etc/cups/cups-browsed.conf*. 2. Для директивы *BrowseRemoteProtocols* установить значение *none*: ```b BrowseRemoteProtocols none ``` 3. Сохранить файл. 4. Перезапустить службу *cups-browsed* с помощью следующей команды: ```b sudo systemctl restart cups-browsed ``` ##### 3 способ. Отключение доступа к UDP-порту 631 1. Используя полномочия администратора системы с высоким уровнем целостности выполнить в консоли следующие команды: ```b iptables -A INPUT -p udp --dport 631 -j DROP ``` 2. Чтобы сохранить текущие правила iptables в файл, например */etc/iptables.rules*, необходимо: - Если файл не был создан ранее, то создать пустой файл и ограничить к нему доступ. Для этого в терминале выполнить команды: ```b touch /etc/iptables.rules chmod 640 /etc/iptables.rules ``` - Выгрузить текущие правила iptables в файл, выполнив в терминале команду: ```b iptables-save | sudo tee /etc/iptables.rules > /dev/null ``` 3. Для обеспечения автоматического восстановления правил iptables перед включением сетевого интерфейса необходимо: - В каталоге */etc/network/if-pre-up.d/* создать файл, например *iptables*, со следующим содержимым: ```b #!/bin/sh iptables-restore < /etc/iptables.rules exit 0 ``` - Сделать созданный сценарий исполнимым, выполнив в терминале команду: ```b chmod +x /etc/network/if-pre-up.d/iptables ``` Astra Linux 1.8 libppd, cups CUPS is a standards-based, open-source printing system, and `libppd` can be used for legacy PPD file support. The `libppd` function `ppdCreatePPDFromIPP2` does not sanitize IPP attributes when creating the PPD buffer. When used in combination with other functions such as `cfGetPrinterAttributes5`, can result in user controlled input and ultimately code execution via Foomatic. This vulnerability can be part of an exploit chain leading to remote code execution (RCE), as described in CVE-2024-47176. Уязвимость функции ppdCreatePPDFromIPP2 библиотеки libppd сервера печати CUPS связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:N/I:H/A:N', score=8.6) Для нейтрализации уязвимости можно воспользоваться одним из трёх способов. ##### 1 способ. Отключение службы cups_browsed Остановить работу службы _cups-browsed_ и предотвратить ее запуск при перезагрузке с помощью следующих команд: ```b sudo systemctl stop cups-browsed sudo systemctl disable cups-browsed ``` ##### 2 способ. Изменение файла конфигурации /etc/cups/cups-browsed.conf 1. Используя полномочия администратора системы с высоким уровнем целостности с помощью текстового редактора открыть файл */etc/cups/cups-browsed.conf*. 2. Для директивы *BrowseRemoteProtocols* установить значение *none*: ```b BrowseRemoteProtocols none ``` 3. Сохранить файл. 4. Перезапустить службу *cups-browsed* с помощью следующей команды: ```b sudo systemctl restart cups-browsed ``` ##### 3 способ. Отключение доступа к UDP-порту 631 1. Используя полномочия администратора системы с высоким уровнем целостности выполнить в консоли следующие команды: ```b iptables -A INPUT -p udp --dport 631 -j DROP ``` 2. Чтобы сохранить текущие правила iptables в файл, например */etc/iptables.rules*, необходимо: - Если файл не был создан ранее, то создать пустой файл и ограничить к нему доступ. Для этого в терминале выполнить команды: ```b touch /etc/iptables.rules chmod 640 /etc/iptables.rules ``` - Выгрузить текущие правила iptables в файл, выполнив в терминале команду: ```b iptables-save | sudo tee /etc/iptables.rules > /dev/null ``` 3. Для обеспечения автоматического восстановления правил iptables перед включением сетевого интерфейса необходимо: - В каталоге */etc/network/if-pre-up.d/* создать файл, например *iptables*, со следующим содержимым: ```b #!/bin/sh iptables-restore < /etc/iptables.rules exit 0 ``` - Сделать созданный сценарий исполнимым, выполнив в терминале команду: ```b chmod +x /etc/network/if-pre-up.d/iptables ``` Astra Linux 1.8 oath-toolkit pam_oath.so in oath-toolkit 2.6.7 through 2.6.11 before 2.6.12 allows root privilege escalation because, in the context of PAM code running as root, it mishandles usersfile access, such as by calling fchown in the presence of a symlink. Уязвимость библиотеки для создания систем аутентификации OATH Toolkit связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=7.1) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by tricking needrestart into running the Python interpreter with an attacker-controlled PYTHONPATH environment variable. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by winning a race condition and tricking needrestart into running their own, fake Python interpreter (instead of the system's real Python interpreter). The initial security fix (6ce6136) introduced a regression which was subsequently resolved (42af5d3). Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 needrestart Qualys discovered that needrestart, before version 3.8, allows local attackers to execute arbitrary code as root by tricking needrestart into running the Ruby interpreter with an attacker-controlled RUBYLIB environment variable. Уязвимость утилиты для проверки необходимости перезапуска служб Needrestart связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) Astra Linux 1.8 libvpx There exists interger overflows in libvpx in versions prior to 1.14.1. Calling vpx_img_alloc() with a large value of the d_w, d_h, or align parameter may result in integer overflows in the calculations of buffer sizes and offsets and some fields of the returned vpx_image_t struct may be invalid. Calling vpx_img_wrap() with a large value of the d_w, d_h, or stride_align parameter may result in integer overflows in the calculations of buffer sizes and offsets and some fields of the returned vpx_image_t struct may be invalid. We recommend upgrading to version 1.14.1 or beyond Уязвимость функции vpx_img_alloc() библиотеки кодирования/декодирования видео libvpx связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем передачи специально созданных данных [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:H', score=9.1) libvpx: - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить запрет монтирования носителей непривилегированными пользователями Astra Linux 1.8 libreoffice Improper Certificate Validation vulnerability in LibreOffice "LibreOfficeKit" mode disables TLS certification verification LibreOfficeKit can be used for accessing LibreOffice functionality through C/C++. Typically this is used by third party components to reuse LibreOffice as a library to convert, view or otherwise interact with documents. LibreOffice internally makes use of "curl" to fetch remote resources such as images hosted on webservers. In affected versions of LibreOffice, when used in LibreOfficeKit mode only, then curl's TLS certification verification was disabled (CURLOPT_SSL_VERIFYPEER of false) In the fixed versions curl operates in LibreOfficeKit mode the same as in standard mode with CURLOPT_SSL_VERIFYPEER of true. This issue affects LibreOffice before version 24.2.4. Уязвимость компонента LibreOfficeKit пакета офисных программ LibreOffice связана с ошибками при проверке TLS-сертификата. Эксплуатация уязвимости может позволить нарушителю, действуюшему удалённо, выполнить произольный код [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: 1. Запустить ОС с правами администратора. 2. В терминале выполнить следующую команду: ` astra-macros-lock enable ` 3. Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 wpa An issue was discovered in Ubuntu wpa_supplicant that resulted in loading of arbitrary shared objects, which allows a local unprivileged attacker to escalate privileges to the user that wpa_supplicant runs as (usually root). Membership in the netdev group or access to the dbus interface of wpa_supplicant allow an unprivileged user to specify an arbitrary path to a module to be loaded by the wpa_supplicant process; other escalation paths might exist. Уязвимость клиента защищённого доступа Wi-Fi WPA Supplicant связана с неконтролируемым элементом пути поиска. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-427'), NistCWE(cwe='CWE-427')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимости необходимо соблюдать следующие требования: - Отключить и удалить неиспользуемые учётные записи пользователей - Запускайте ПО wpa с минимально необходимыми правами доступа - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.29, 8.2.* before 8.2.20, 8.3.* before 8.3.8, due to a code logic error, filtering functions such as filter_var when validating URLs (FILTER_VALIDATE_URL) for certain types of URLs the function will result in invalid user information (username + password part of URLs) being treated as valid user information. This may lead to the downstream code accepting invalid URLs as valid and parsing them incorrectly. Уязвимость функции filter_var языка программирования PHP связана с недостаточной проверкой подлинности данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-345'), NistCWE(cwe='CWE-345')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 libndp A vulnerability was found in libndp. This flaw allows a local malicious user to cause a buffer overflow in NetworkManager, triggered by sending a malformed IPv6 router advertisement packet. This issue occurred as libndp was not correctly validating the route length information. Уязвимость библиотеки libndp связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации путем отправки специально созданных IPv6-пакетов [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.1) libndp: - Отказаться от использования библиотеки libndp - При использовании ПО, использующего библиотеку libndp, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libndp, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 nano A vulnerability was found in GNU Nano that allows a possible privilege escalation through an insecure temporary file. If Nano is killed while editing, a file it saves to an emergency file with the permissions of the running user provides a window of opportunity for attackers to escalate privileges through a malicious symlink. Уязвимость текстового редактора Nano связана с ошибками обработки временных файлов. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [NistCWE(cwe='CWE-59'), NistCWE(cwe='CWE-59')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) nano: - включить защиту файловой системы ("установить МКЦ на ФС"); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - активировать регламентный контроль целостности ОС и режим замкнутой программной среды; - по возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 python3.11 There is a MEDIUM severity vulnerability affecting CPython. Regular expressions that allowed excessive backtracking during tarfile.TarFile header parsing are vulnerable to ReDoS via specifically-crafted tar archives. Уязвимость интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного архива [NistCWE(cwe='CWE-1333'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Вместо python2.7 использовать python3.7; - При использовании ПО python и php выполнять обработку файлов, полученных только из доверенных источников; - Запускать ПО в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 setuptools A vulnerability in the package_index module of pypa/setuptools versions up to 69.1.1 allows for remote code execution via its download functions. These functions, which are used to download packages from URLs provided by users or retrieved from package index servers, are susceptible to code injection. If these functions are exposed to user-controlled inputs, such as package URLs, they can execute arbitrary commands on the system. The issue is fixed in version 70.0. Уязвимость модуля package_index библиотеки для работы с пакетами Setuptools связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды python-setuptools: - Использовать ПО python-setuptools только на низком или отдельно выделенном уровне целостности - При использовании ПО python-setuptools выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-setuptools только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libreoffice Certificate Validation user interface in LibreOffice allows potential vulnerability. Signed macros are scripts that have been digitally signed by the developer using a cryptographic signature. When a document with a signed macro is opened a warning is displayed by LibreOffice before the macro is executed. Previously if verification failed the user could fail to understand the failure and choose to enable the macros anyway. This issue affects LibreOffice: from 24.2 before 24.2.5. Уязвимость пользовательского интерфейса проверки сертификата пакета офисных программ LibreOffice связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код при условии разрешения пользователем запуска макроса [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 gtk+3.0, gtk+2.0 A flaw was found in the GTK library. Under certain conditions, it is possible for a library to be injected into a GTK application from the current working directory. Уязвимость библиотеки для создания графических пользовательских интерфейсов GTK (GIMP Toolkit) связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю повысить свои привилегии [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с некорректной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить полный контроль над приложением с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с ошибками преобразования типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Media Stream in Google Chrome prior to 126.0.6478.182 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Media Stream (Трансляция) браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Audio in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Audio браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании с помощью специально сформированной HTML-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Navigation in Google Chrome prior to 126.0.6478.182 allowed an attacker who convinced a user to install a malicious extension to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость функции Navigation браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании путем загрузки специально созданного расширения [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in DevTools in Google Chrome prior to 126.0.6478.182 allowed an attacker who convinced a user to install a malicious extension to inject scripts or HTML into a privileged page via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью созданного расширения Chrome [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-366')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 браузеров Google Chrome и Microsoft Edge связана с выходом операции за границы буферав памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти защитный механизм песочницы, получить несанкционированный доступ к защищаемой информации, выполнить произвольный код или вызвать отказ в обслуживании путем загрузки специально созданной HTML-страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Loader in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Loader браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Down браузеров Google Chrome и Microsoft Edge связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium No description Astra Linux 1.8 chromium Heap buffer overflow in Layout in Google Chrome prior to 127.0.6533.72 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Layout браузеров Google Chrome и Microsoft Edge связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Race in Frames in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362'), NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:N/I:L/A:N', score=3.1) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Tabs in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Tabs веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in User Education in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента User Education веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in CSS in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента CSS веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in HTML in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость парсера HTML веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-474')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Safe Browsing in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a malicious file. (Chromium security severity: Low) Уязвимость службы Safe Browsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient validation of untrusted input in Safe Browsing in Google Chrome prior to 127.0.6533.72 allowed a remote attacker who convinced a user to engage in specific UI gestures to bypass discretionary access control via a malicious file. (Chromium security severity: Low) Уязвимость службы Safe Browsing веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного файла [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-807')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 tiff A null pointer dereference flaw was found in Libtiff via `tif_dirinfo.c`. This issue may allow an attacker to trigger memory allocation failures through certain means, such as restricting the heap space size or injecting faults, causing a segmentation fault. This can cause an application crash, eventually leading to a denial of service. Уязвимость библиотеки LibTIFF связана с разыменованием нулевого указателя через `tif_dirinfo.c`. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - при использовании библиотеки tiff выполнять обработку файлов, полученных только из доверенных источников; - обеспечить запуск приложений, использующих библиотеку tiff, в изолированной программной среде с применением инструмента Firejail; - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - по возможности запускать прикладное ПО в отдельной сессии. Astra Linux 1.8 chromium Inappropriate implementation in DevTools in Google Chrome prior to 126.0.6478.182 allowed a remote attacker to potentially perform a sandbox escape via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента DevTools веб-браузера Google Chrome связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Layout in Google Chrome prior to 129.0.6668.89 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 ffmpeg A vulnerability was found in FFmpeg up to 7.0.1. It has been classified as critical. This affects the function pnm_decode_frame in the library /libavcodec/pnmdec.c. The manipulation leads to heap-based buffer overflow. It is possible to initiate the attack remotely. The exploit has been disclosed to the public and may be used. Upgrading to version 7.0.2 is able to address this issue. It is recommended to upgrade the affected component. The associated identifier of this vulnerability is VDB-273651. Уязвимость функции pnm_decode_frame() компонента libavcodec/pnmdec.c мультимедийной библиотеки FFmpeg связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Out of bounds read in WebTransport in Google Chrome prior to 127.0.6533.88 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость интерфейса WebTransport веб-браузера Google Chrome связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 curl libcurl's ASN1 parser code has the `GTime2str()` function, used for parsing an ASN.1 Generalized Time field. If given an syntactically incorrect field, the parser might end up using -1 for the length of the *time fraction*, leading to a `strlen()` getting performed on a pointer to a heap buffer area that is not (purposely) null terminated. This flaw most likely leads to a crash, but can also lead to heap contents getting returned to the application when [CURLINFO_CERTINFO](https://curl.se/libcurl/c/CURLINFO_CERTINFO.html) is used. Уязвимость функции GTime2str() программного средства для взаимодействия с серверами CURL связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) curl: - Использовать ПО curl только на низком или отдельно выделенном уровне целостности - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО curl в пользу ПО wget - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg A vulnerability, which was classified as critical, was found in FFmpeg up to 5.1.5. This affects the function fill_audiodata of the file /libswresample/swresample.c. The manipulation leads to heap-based buffer overflow. It is possible to initiate the attack remotely. This issue was fixed in version 6.0 by 9903ba28c28ab18dc7b7b6fb8571cc8b5caae1a6 but a backport for 5.1 was forgotten. The exploit has been disclosed to the public and may be used. Upgrading to version 5.1.6 and 6.0 9903ba28c28ab18dc7b7b6fb8571cc8b5caae1a6 is able to address this issue. It is recommended to upgrade the affected component. Уязвимость функции fill_audiodata() компонента libswresample/swresample.c мультимедийной библиотеки FFmpeg связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] NistCVSS2(cvss='AV:N/AC:L/Au:N/C:P/I:P/A:P', score=7.5) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L', score=6.3) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 postgresql-15 Time-of-check Time-of-use (TOCTOU) race condition in pg_dump in PostgreSQL allows an object creator to execute arbitrary SQL functions as the user running pg_dump, which is often a superuser. The attack involves replacing another relation type with a view or foreign table. The attack requires waiting for pg_dump to start, but winning the race condition is trivial if the attacker retains an open transaction. Versions before PostgreSQL 16.4, 15.8, 14.13, 13.16, and 12.20 are affected. Уязвимость компонента pg_dump реляционной СУБД PostgreSQL связана с недостаточной проверкой состояния совместно используемого ресурса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-367'), NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) - Не использовать уязвимую функцию pg_dump; - Запускать ПО postgresql в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. Astra Linux 1.8 firefox Select options could obscure the fullscreen notification dialog. This could be used by a malicious site to perform a spoofing attack. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость полноэкранного режима уведомлений браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с неправильным ограничением отображаемых слоев или фреймов пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, проводить спуфинг атаки [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Insufficient checks when processing graphics shared memory could have led to memory corruption. This could be leveraged by an attacker to perform a sandbox escape. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) Astra Linux 1.8 firefox A type confusion bug in WebAssembly could be leveraged by an attacker to potentially achieve code execution. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость компонента WebAssembly браузеров Mozilla Firefox, Mozilla Firefox ESR, почтового клиента Mozilla Thunderbird связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird Incomplete WebAssembly exception handing could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента WebAssembly веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатками в обработке исключительных состояний. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-755'), NistCWE(cwe='CWE-755')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Editor code failed to check an attribute value. This could have led to an out-of-bounds read. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Attribute Handler веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Firefox adds web-compatibility shims in place of some tracking scripts blocked by Enhanced Tracking Protection. On a site protected by Content Security Policy in "strict-dynamic" mode, an attacker able to inject an HTML element could have used a DOM Clobbering attack on some of the shims and achieved XSS, bypassing the CSP strict-dynamic protection. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, and Firefox ESR < 128.1. Уязвимость компонента Content Security Policy браузеров Firefox, Firefox ESR связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществлять межсайтовые сценарные атаки [NistCWE(cwe='CWE-79'), NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird It was possible for a web extension with minimal permissions to create a `StreamFilter` which could be used to read and modify the response body of requests on any site. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Response Body Handler веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью формирования фильтра потоков данных («StreamFilter») веб-расширения [NistCWE(cwe='CWE-276'), NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) Astra Linux 1.8 firefox, thunderbird ANGLE failed to initialize parameters which lead to reading from uninitialized memory. This could be leveraged to leak sensitive data from memory. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость библиотеки ANGLE браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю раскрыть защищаемую информацию [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 firefox, thunderbird Unexpected marking work at the start of sweeping could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость компонента Garbage Collector веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Incorrect garbage collection interaction in IndexedDB could have led to a use-after-free. This vulnerability affects Firefox < 129, Firefox ESR < 128.1, and Thunderbird < 128.1. Уязвимость компонента IndexedDB браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird The date picker could partially obscure security prompts. This could be used by a malicious site to trick a user into granting permissions. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, Firefox ESR < 128.1, Thunderbird < 128.1, and Thunderbird < 115.14. Уязвимость функции Date Picker веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-451')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) Astra Linux 1.8 firefox Incorrect garbage collection interaction could have led to a use-after-free. This vulnerability affects Firefox < 129. Уязвимость компонента Garbage Collector веб-браузера Firefox связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, nss Calling `PK11_Encrypt()` in NSS using CKM_CHACHA20 and the same buffer for input and output can result in plaintext on an Intel Sandy Bridge processor. In Firefox this only affects the QUIC header protection feature when the connection is using the ChaCha20-Poly1305 cipher suite. The most likely outcome is connection failure, but if the connection persists despite the high packet loss it could be possible for a network observer to identify packets as coming from the same source despite a network path change. This vulnerability affects Firefox < 129, Firefox ESR < 115.14, and Firefox ESR < 128.1. Уязвимость веб-браузеров Firefox и Firefox ESR, набора библиотек разработки приложений NSS связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-367')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) Astra Linux 1.8 chromium Out of bounds memory access in ANGLE in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Critical) Уязвимость библиотеки ANGLE веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Layout in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 127.0.6533.99 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 python3.11 There is a LOW severity vulnerability affecting CPython, specifically the 'http.cookies' standard library module. When parsing cookies that contained backslashes for quoted characters in the cookie value, the parser would use an algorithm with quadratic complexity, resulting in excess CPU resources being used while parsing the value. Уязвимость библиотеки http.cookies интерпретатора языка программирования Python связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-400'), NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 libreoffice Improper Digital Signature Invalidation  vulnerability in Zip Repair Mode of The Document Foundation LibreOffice allows Signature forgery vulnerability in LibreOfficeThis issue affects LibreOffice: from 24.2 before < 24.2.5. Уязвимость пакета офисных программ LibreOffice связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-347'), NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-358')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Out of bounds memory access in Skia in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who had compromised the renderer process to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Fonts in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Fonts веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Autofill in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who had convinced the user to engage in specific UI interactions to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость функции автозаполнения Autofill веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.113 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 128.0.6613.119 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type confusion in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) Уязвимость связана с ошибками преобразования типов данных в движке Javascript V8 веб-браузера Google Chrome. В версиях ПО chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in PDFium in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform an out of bounds memory read via a crafted PDF file. (Chromium security severity: Medium) Уязвимость компонента PDFium веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного PDF-файла [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in V8 API in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного расширения Chrome [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FedCM in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента FedCM веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient policy enforcement in Data Transfer in Google Chrome prior to 128.0.6613.84 allowed a remote attacker who convinced a user to engage in specific UI gestures to leak cross-origin data via a crafted HTML page. (Chromium security severity: Medium) Уязвимость веб-браузера Google Chrome связана с недостатками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Views in Google Chrome prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in WebApp Installs in Google Chrome on Windows prior to 128.0.6613.84 allowed an attacker who convinced a user to install a malicious application to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента WebApp Installs веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Custom Tabs in Google Chrome on Android prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome on Windows prior to 128.0.6613.84 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 python3.11 There is a HIGH severity vulnerability affecting the CPython "zipfile" module affecting "zipfile.Path". Note that the more common API "zipfile.ZipFile" class is unaffected. When iterating over names of entries in a zip archive (for example, methods of "zipfile.Path" like "namelist()", "iterdir()", etc) the process can be put into an infinite loop with a maliciously crafted zip archive. This defect applies when reading only metadata or extracting the contents of the zip archive. Programs that are not handling user-controlled zip archives are not affected. Уязвимость модуля zipfile интерпретатора языка программирования Python связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None None python3.11: - Удалить ПО python3.11, если оно не используется и не является зависимостью других пакетов - При использовании ПО python выполнять обработку только доверенных файлов, полученных из доверенных источников - Запускайте Python-скрипты с минимально необходимыми правами доступа - Запускать ПО в изолированной программной среде с применением инструмента Firejail - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 curl When curl is told to use the Certificate Status Request TLS extension, often referred to as OCSP stapling, to verify that the server certificate is valid, it might fail to detect some OCSP problems and instead wrongly consider the response as fine. If the returned status reports another error than 'revoked' (like for example 'unauthorized') it is not treated as a bad certficate. Уязвимость программного средства для взаимодействия с серверами CURL связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-295')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N', score=6.5) По умолчанию уязвимая опция проверки статуса OCSP в curl выключена - Удалите опцию проверки статуса OCSP в curl убрав `--cert-status` из скриптов/инструментов. - Включить альтернативные проверки статуса сертификата (пример: openssl) - Отказаться от использования ПО curl в пользу ПО wget Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.113 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.113 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.113 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libvirt A flaw was found in libvirt. A refactor of the code fetching the list of interfaces for multiple APIs introduced a corner case on platforms where allocating 0 bytes of memory results in a NULL pointer. This corner case would lead to a NULL-pointer dereference and subsequent crash of virtinterfaced. This issue could allow clients connecting to the read-only socket to crash the virtinterfaced daemon. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) libvirt: - Используйте SSH для безопасного удаленного доступа к виртуальным машинам - Проверяйте образы виртуальных машин перед их загрузкой и выполнением - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды Astra Linux 1.8 chromium Use after free in WebAudio in Google Chrome prior to 128.0.6613.119 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента WebAudio веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird A potentially exploitable type confusion could be triggered when looking up a property name on an object being used as the `with` environment. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость Firefox ESR и Firefox существует из-за ошибки типов при поиске имени свойства в блоке «with». Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Internal browser event interfaces were exposed to web content when privileged EventHandler listener callbacks ran for those events. Web content that tried to use those interfaces would not be able to use them with elevated privileges, but their presence would indicate certain browser features had been used, such as when a user opened the Dev Tools console. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с применением обработчика сигналов нереентерабельной функции. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-273')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Firefox normally asks for confirmation before asking the operating system to find an application to handle a scheme that the browser does not support. It did not ask before doing so for the Usenet-related schemes news: and snews:. Since most operating systems don't have a trusted newsreader installed by default, an unscrupulous program that the user downloaded could register itself as a handler. The website that served the application download could then launch that application at will. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Firefox ESR < 115.15. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-1188')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird The JavaScript garbage collector could mis-color cross-compartment objects if OOM conditions were detected at the right point between two passes. This could have led to memory corruption. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, Firefox ESR < 115.15, Thunderbird < 128.2, and Thunderbird < 115.15. Уязвимость браузера Firefox, Firefox ESR связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox A difference in the handling of StructFields and ArrayTypes in WASM could be used to trigger an exploitable type confusion vulnerability. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox If a site had been granted the permission to open popup windows, it could cause Select elements to appear on top of another site to perform a spoofing attack. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием открытой переадресации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-601'), NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 129, Firefox ESR 128.1, and Thunderbird 128.1. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 130, Firefox ESR < 128.2, and Thunderbird < 128.2. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Memory safety bugs present in Firefox 129. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 130. Уязвимость веб-браузера Firefox связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Heap buffer overflow in Skia in Google Chrome prior to 128.0.6613.137 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Skia веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 128.0.6613.137 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox An attacker could write data to the user's clipboard, bypassing the user prompt, during a certain sequence of navigational events. This vulnerability affects Firefox < 129, Firefox ESR < 128.3, and Thunderbird < 128.3. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостатками разграничения доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N', score=7.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to potentially exploit stack corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Incorrect security UI in Downloads in Google Chrome prior to 129.0.6668.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость пользовательского интерфейса компонента Загрузки веб-браузера Google Chrome связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 129.0.6668.58 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Low) Уязвимость функции автозаполнения Autofill веб-браузера Google Chrome связана с ошибками реализации проверки безопасности для стандартных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, erroneous parsing of multipart form data contained in an HTTP POST request could lead to legitimate data not being processed. This could lead to malicious attacker able to control part of the submitted data being able to exclude portion of other data, potentially leading to erroneous application behavior. Уязвимость языка программирования PHP связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-444'), NistCWE(cwe='CWE-444')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.1) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, HTTP_REDIRECT_STATUS variable is used to check whether or not CGI binary is being run by the HTTP server. However, in certain scenarios, the content of this variable can be controlled by the request submitter via HTTP headers, which can lead to cgi.force_redirect option not being correctly applied. In certain configurations this may lead to arbitrary file inclusion in PHP. Уязвимость языка программирования PHP связана с ошибками в настройках безопасности. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1220')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.30, 8.2.* before 8.2.24, 8.3.* before 8.3.12, when using PHP-FPM SAPI and it is configured to catch workers output through catch_workers_output = yes, it may be possible to pollute the final log or remove up to 4 characters from the log messages by manipulating log message content. Additionally, if PHP-FPM is configured to use syslog output, it may be possible to further remove log data using the same vulnerability. Уязвимость языка программирования PHP связана с неправильной обработкой выходных данных для журналов регистрации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-117')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:N', score=3.3) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Inappropriate implementation in V8 in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to potentially perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to perform out of bounds memory access via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Integer overflow in Skia in Google Chrome prior to 129.0.6668.70 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость графической библиотеки Skia веб-браузера Google Chrome связана с ошибками обработки HTTP-запросов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-472'), NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Mojo in Google Chrome prior to 129.0.6668.89 allowed a remote attacker who had compromised the renderer process to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Mojo веб-браузера Google Chrome связана с некорректной проверкой количества данных на входе. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-1284'), NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=9.6) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium No description Astra Linux 1.8 firefox, thunderbird A compromised content process could have allowed for the arbitrary loading of cross-origin pages. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird An attacker could, via a specially crafted multipart response, execute arbitrary JavaScript under the `resource://pdf.js` origin. This could allow them to access cross-origin PDF content. This access is limited to "same site" documents by the Site Isolation feature on desktop clients, but full cross-origin access is possible on Android versions. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость функционала Isolation веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с недостатком в механизме подтверждения источника. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-346')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird An attacker could, via a specially crafted multipart response, execute arbitrary JavaScript under the `resource://devtools` origin. This could allow them to access cross-origin JSON content. This access is limited to "same site" documents by the Site Isolation feature on desktop clients, but full cross-origin access is possible on Android versions. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость функционала Site Isolation веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Astra Linux 1.8 firefox, thunderbird It is currently unknown if this issue is exploitable but a condition may arise where the structured clone of certain objects could lead to memory corruption. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird A missing delay in directory upload UI could have made it possible for an attacker to trick a user into granting permission via clickjacking. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с некорректным ограничением визуализированных слоев пользовательского интерфейса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку типа clickjacking («захват клика») [NistCWE(cwe='CWE-1021'), NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird By checking the result of calls to `window.open` with specifically set protocol handlers, an attacker could determine if the application which implements that protocol handler is installed. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость компонента window.open веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Astra Linux 1.8 firefox, thunderbird A website configured to initiate a specially crafted WebTransport session could crash the Firefox process leading to a denial of service condition. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость интерфейса WebTransport API браузеров Mozilla Firefox, Firefox ESR и почтового клиента Thunderbird связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-404')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Astra Linux 1.8 firefox, thunderbird A potential memory corruption vulnerability could be triggered if an attacker had the ability to trigger an OOM at a specific moment during JIT compilation. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 130, Firefox ESR 115.15, Firefox ESR 128.2, and Thunderbird 128.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Firefox ESR < 115.16, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 130, Firefox ESR 128.2, and Thunderbird 128.2. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131, Firefox ESR < 128.3, Thunderbird < 128.3, and Thunderbird < 131. Уязвимость веб-браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox Memory safety bugs present in Firefox 130. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 131 and Thunderbird < 131. Уязвимость веб-браузера Firefox и почтового клиента Thunderbird связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.100 allowed a remote attacker to perform an out of bounds memory write via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 129.0.6668.100 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird An attacker was able to achieve code execution in the content process by exploiting a use-after-free in Animation timelines. We have had reports of this vulnerability being exploited in the wild. This vulnerability affects Firefox < 131.0.2, Firefox ESR < 128.3.1, Firefox ESR < 115.16.1, Thunderbird < 131.0.1, Thunderbird < 128.3.1, and Thunderbird < 115.16.0. Уязвимость веб-браузеров Firefox и Firefox ESR связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) - Обеспечить запуск ПО Firefox, Firefox-ESR и Thunderbird на промежуточном (отличном от максимального) уровне целостности - Обеспечить запуск ПО Firefox, Firefox-ESR и Thunderbird в изолированной программной среде с применением инструмента Firejail - Отказаться от использования ПО Firefox и Firefox-ESR в пользу ПО Chromium Astra Linux 1.8 firefox When manipulating the selection node cache, an attacker may have been able to cause unexpected behavior, potentially leading to an exploitable crash. This vulnerability affects Firefox < 131.0.3. Уязвимость веб-браузера Firefox связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in AI in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость реализации технологии AI веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in WebAuthentication in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость интерфейса Web Authentication API веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) * Удалить ПО Chromium, если оно не используется * Отказаться от использования ПО Chromium в пользу ПО Firefox * Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail * Выполнить безопасную настройку Chromium: * При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников * Отказаться от установки и использования недоверенных расширений * Отключить JavaScript в браузере. Для этого выполните следующее: * Введите chrome://settings/content/javascript в адресную строку и нажмите Enter * Переключите разрешение на Запретить сайтам использовать JavaScript * Перезапустите Chromium * Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам * Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС * Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in PictureInPicture in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента PictureInPicture веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in DevTools in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted Chrome Extension. (Chromium security severity: Medium) Уязвимость панели инструментов для веб-разработки веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного расширения [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Dawn in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Dawn веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Permissions in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента управления разрешениями веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Insufficient data validation in Downloads in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента загрузки веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Payments in Google Chrome prior to 130.0.6723.58 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted Chrome Extension. (Chromium security severity: Low) Уязвимость компонента Payments веб-браузера Google Chrome связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Navigations in Google Chrome prior to 130.0.6723.58 allowed a remote attacker to bypass content security policy via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента навигация веб-браузера Google Chrome связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N', score=5.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 libreoffice LibreOffice supports Office URI Schemes to enable browser integration of LibreOffice with MS SharePoint server. An additional scheme 'vnd.libreoffice.command' specific to LibreOffice was added. In the affected versions of LibreOffice a link in a browser using that scheme could be constructed with an embedded inner URL that when passed to LibreOffice could call internal macros with arbitrary arguments. This issue affects LibreOffice: from 24.8 before < 24.8.5, from 25.2 before < 25.2.1. Уязвимость пакета офисных программ LibreOffice связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 p7zip 7-Zip XZ Decompression Heap-based Buffer Overflow Remote Code Execution Vulnerability. This vulnerability allows remote attackers to execute arbitrary code on affected installations of 7-Zip. User interaction is required to exploit this vulnerability in that the target must visit a malicious page or open a malicious file. The specific flaw exists within the processing of XZ chunked data. Crafted XZ-compressed data can trigger an overflow of a heap-based buffer. An attacker can leverage this vulnerability to execute code in the context of the current process. Was ZDI-CAN-30169. Уязвимость функции MixCoder_Code() компонента XZ Decoder архиватора 7-Zip связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.0) p7zip: - Запускайте p7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам p7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice Out-of-bounds write vulnerability in The Document Foundation LibreOffice via crafted OOXML documents with mismatched encryption salt parameters. This issue affects LibreOffice: from 26.2 before 26.2.3, from 25.8 before 25.8.7. Уязвимость пакета офисных программ LibreOffice связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 p7zip 7-Zip is a file archiver with a high compression ratio. Versions 26.00 and prior contain a heap buffer overflow vulnerability caused by an under-allocation in the NTFS compressed stream buffer (GetCuSize shift UB), potentially allowing attackers to cause arbitrary code execution or application crashes. CInStream::GetCuSize() in the NTFS handler computes the compression-unit buffer size as (UInt32)1 << (BlockSizeLog + CompressionUnit), and a crafted image with ClusterSizeLog >= 28 and CompressionUnit == 4 drives the exponent to 32, which is undefined behavior and collapses on x86/x64 so _inBuf is allocated as 1 byte. ReadStream_FALSE then writes up to 256 MB of attacker-controlled data into that 1-byte buffer in 64 KB iterations, and because the CInStream object sits only 304 bytes after _inBuf, its vtable pointer is overwritten and the next dispatched call achieves a vtable hijack. On 32-bit builds the overflow is unconditionally reached; on 64-bit it requires the parallel 8 GB _outBuf allocation to succeed, otherwise failing closed to denial of service. The NTFS handler is enabled by default in stock 7z.dll and, via signature-based fallback matching "NTFS " at offset 3, will open a crafted image regardless of file extension during extraction or testing. Version 26.01 fixes the issue. Уязвимость функции CInStream::GetCuSize() обработчика NTFS архиватора 7-Zip связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) - Запускайте 7zip с минимально необходимыми привилегиями. Избегайте запуска от имени суперпользователя, если это не требуется. - Настройте права доступа к исполняемым файлам 7zip так, чтобы их могли изменять только администраторы системы. - Распаковывайте только архивы из надежных источников. Избегайте распаковки архивов, полученных из неизвестных или подозрительных источников. - Перед распаковкой архивов сканируйте их на наличие вредоносного ПО с помощью антивирусных программ. Astra Linux 1.8 libreoffice LibreOffice can import drawings in the DXF format used by CAD software. A heap buffer overflow existed when importing a DXF polyline. The point count taken from the file was truncated to a 16-bit value when the point buffer was sized, while the full count was used to fill it, so a polyline whose point count exceeded the 16-bit range was written past the end of the buffer. In fixed versions such oversized polylines are rejected. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданного файла DXF [NistCWE(cwe='CWE-197')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice A heap use-after-free existed when importing the blank-width characters of an ODF number format. A position value read from the document was not checked against the length of the format-code string, so a malformed number format could be processed against memory outside that string. In fixed versions the position is bounds-checked before use. Уязвимость пакета офисных программ LibreOffice связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-825')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:H/I:H/A:H', score=7.3) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice can import EMF+ graphics, which may be embedded in documents. A heap buffer overflow existed when importing an EMF+ gradient brush. The number of gradient blend points was read from the file and used to compute an allocation size, but that multiplication could overflow, so a small buffer was allocated and then filled as if it were large, writing past its end. In fixed versions the blend-point count is checked against the data actually available before allocating. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданного документа [NistCWE(cwe='CWE-190')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice can import presentations in the legacy binary PPT format. A stack buffer overflow existed when importing a colour-replacement record. Two fixed-size colour tables were filled from the file, but the write position was not reset between the two passes over the record, so a file whose combined colour counts exceeded the table size wrote past the end of the tables on the stack. In fixed versions the unused second pass is no longer read into those tables. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в стеке. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданных файлов PPT [NistCWE(cwe='CWE-121')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice Calc compiles cell formulas when opening a spreadsheet. A heap buffer overflow existed when compiling a very long formula made up of many opening tokens. The array that tracks nesting depth was allocated one element too small for that worst case, so such a formula wrote one element past its end. In fixed versions the array is sized to hold the largest possible nesting. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-193'), NistCWE(cwe='CWE-131')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 libreoffice LibreOffice Calc can import tracked changes from a spreadsheet document. A heap buffer overflow existed when a document reused the same change identifier for two different kinds of change. The importer then treated one change object as a different, larger type and wrote past the end of its allocation. In fixed versions records with a duplicate identifier are rejected. Уязвимость пакета офисных программ LibreOffice связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации с помощью специально созданного документа в формате электронной таблицы [NistCWE(cwe='CWE-787')] None None libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 astra-safepolicy Уязвимость программного обеспечения для настройки безопасности astra-safepolicy связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании CWE-284 AV:L/AC:L/Au:N/C:C/I:C/A:C AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H Astra Linux 1.8 libreoffice Exposure of Environmental Variables and arbitrary INI file values to an Unauthorized Actor vulnerability in The Document Foundation LibreOffice. URLs could be constructed which expanded environmental variables or INI file values, so potentially sensitive information could be exfiltrated to a remote server on opening a document containing such links. This issue affects LibreOffice: from 24.8 before < 24.8.4. Уязвимость пакета офисных программ LibreOffice связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:N/A:N', score=6.5) libreoffice: - При использовании ПО libreoffice выполнять обработку файлов, полученных только из доверенных источников - Включить блокировку исполнения макросов в документах LibreOffice. Для этого необходимо выполнить следующие действия: - Запустить ОС с правами администратора. - В терминале выполнить следующую команду: ` astra-macros-lock enable ` - Для проверки активации блокировки исполнения макросов в документах Libreoffice в терминале нужно выполнить следующую команду: ` astra-macros-lock status ` - В результате выполнения команды в терминале должно быть выведено "АКТИВНО". - Запускать ПО libreoffice в изолированной программной среде с применением инструмента Firejail; - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Запретить установку бита исполнения для всех пользователей, включая администраторов. Astra Linux 1.8 hdf5 A buffer overflow in H5O__layout_encode in H5Olayout.c in the HDF HDF5 through 1.10.4 library allows attackers to cause a denial of service via a crafted HDF5 file. This issue was triggered while repacking an HDF5 file, aka "Invalid write of size 2." Уязвимость функции H5O__layout_encode компонента H5Olayout.c библиотеки обработки HDF файлов HDF5 связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного HDF5 файла [NistCWE(cwe='CWE-119')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 hdf5 An issue was discovered in HDF5 through 1.12.0. A NULL pointer dereference exists in the function H5F_get_nrefs() located in H5Fquery.c. It allows an attacker to cause Denial of Service. Уязвимость функции H5F_get_nrefs() в файле H5Fquery.c. библиотеки HDF5 связана с разыменованием NULL указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] NistCVSS2(cvss='AV:N/AC:M/Au:N/C:N/I:N/A:P', score=4.3) NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 djvulibre An issue was discovered IW44EncodeCodec.cpp in djvulibre 3.5.28 in allows attackers to cause a denial of service via divide by zero. Уязвимость компонента IW44EncodeCodec.cpp библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) djvulibre: - Удалить ПО djvulibre, если оно не используется - Отказаться от использования ПО djvulibre в пользу ПО okular - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска djvulibre только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Запускать ПО djvulibre в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) Astra Linux 1.8 linux-6.1 An issue was discovered in the Linux kernel through 6.0.9. drivers/char/xillybus/xillyusb.c has a race condition and use-after-free during physical removal of a USB device. Уязвимость компонента driver/char/xillybus/xilliusb.c ядра операционной системы Linux связана с одновременным выполнением использования общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код. [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=6.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: lgdt3306a: Add a check against null-pointer-def The driver should check whether the client provides the platform_data. The following log reveals it: [ 29.610324] BUG: KASAN: null-ptr-deref in kmemdup+0x30/0x40 [ 29.610730] Read of size 40 at addr 0000000000000000 by task bash/414 [ 29.612820] Call Trace: [ 29.613030] <TASK> [ 29.613201] dump_stack_lvl+0x56/0x6f [ 29.613496] ? kmemdup+0x30/0x40 [ 29.613754] print_report.cold+0x494/0x6b7 [ 29.614082] ? kmemdup+0x30/0x40 [ 29.614340] kasan_report+0x8a/0x190 [ 29.614628] ? kmemdup+0x30/0x40 [ 29.614888] kasan_check_range+0x14d/0x1d0 [ 29.615213] memcpy+0x20/0x60 [ 29.615454] kmemdup+0x30/0x40 [ 29.615700] lgdt3306a_probe+0x52/0x310 [ 29.616339] i2c_device_probe+0x951/0xa90 Уязвимость компонента drivers/media/dvb-frontends/lgdt3306a.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sh: cpuinfo: Fix a warning for CONFIG_CPUMASK_OFFSTACK When CONFIG_CPUMASK_OFFSTACK and CONFIG_DEBUG_PER_CPU_MAPS are selected, cpu_max_bits_warn() generates a runtime warning similar as below when showing /proc/cpuinfo. Fix this by using nr_cpu_ids (the runtime limit) instead of NR_CPUS to iterate CPUs. [ 3.052463] ------------[ cut here ]------------ [ 3.059679] WARNING: CPU: 3 PID: 1 at include/linux/cpumask.h:108 show_cpuinfo+0x5e8/0x5f0 [ 3.070072] Modules linked in: efivarfs autofs4 [ 3.076257] CPU: 0 PID: 1 Comm: systemd Not tainted 5.19-rc5+ #1052 [ 3.099465] Stack : 9000000100157b08 9000000000f18530 9000000000cf846c 9000000100154000 [ 3.109127] 9000000100157a50 0000000000000000 9000000100157a58 9000000000ef7430 [ 3.118774] 90000001001578e8 0000000000000040 0000000000000020 ffffffffffffffff [ 3.128412] 0000000000aaaaaa 1ab25f00eec96a37 900000010021de80 900000000101c890 [ 3.138056] 0000000000000000 0000000000000000 0000000000000000 0000000000aaaaaa [ 3.147711] ffff8000339dc220 0000000000000001 0000000006ab4000 0000000000000000 [ 3.157364] 900000000101c998 0000000000000004 9000000000ef7430 0000000000000000 [ 3.167012] 0000000000000009 000000000000006c 0000000000000000 0000000000000000 [ 3.176641] 9000000000d3de08 9000000001639390 90000000002086d8 00007ffff0080286 [ 3.186260] 00000000000000b0 0000000000000004 0000000000000000 0000000000071c1c [ 3.195868] ... [ 3.199917] Call Trace: [ 3.203941] [<90000000002086d8>] show_stack+0x38/0x14c [ 3.210666] [<9000000000cf846c>] dump_stack_lvl+0x60/0x88 [ 3.217625] [<900000000023d268>] __warn+0xd0/0x100 [ 3.223958] [<9000000000cf3c90>] warn_slowpath_fmt+0x7c/0xcc [ 3.231150] [<9000000000210220>] show_cpuinfo+0x5e8/0x5f0 [ 3.238080] [<90000000004f578c>] seq_read_iter+0x354/0x4b4 [ 3.245098] [<90000000004c2e90>] new_sync_read+0x17c/0x1c4 [ 3.252114] [<90000000004c5174>] vfs_read+0x138/0x1d0 [ 3.258694] [<90000000004c55f8>] ksys_read+0x70/0x100 [ 3.265265] [<9000000000cfde9c>] do_syscall+0x7c/0x94 [ 3.271820] [<9000000000202fe4>] handle_syscall+0xc4/0x160 [ 3.281824] ---[ end trace 8b484262b4b8c24c ]--- Уязвимость функции show_cpuinfo() модуля arch/sh/kernel/cpu/proc.c ядра операционной системы Linux связана с использованием имени с неправильной ссылкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 xorg-server In X.Org X server 20.11 through 21.1.16, when a client application uses easystroke for mouse gestures, the main thread modifies various data structures used by the input thread without acquiring a lock, aka a race condition. In particular, AttachDevice in dix/devices.c does not acquire an input lock. Уязвимость компонента dix/devices.c реализации сервера X Window System X.Org Server связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-413')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.7) xorg-server: - Используйте отдельного пользователя для X-сессии с минимально необходимыми привилегиями - Отключите неиспользуемые расширения X11 - Используйте Firejail для изоляции браузеров, офисных пакетов и другого ПО, работающего через X11 Astra Linux 1.8 imagemagick A heap-based buffer overflow vulnerability was found in the ImageMagick package that can lead to the application crashing. Уязвимость консольного графического редактора ImageMagick связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности 2. Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии 3. Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail 4. При использовании ПО imagemagick выполнять обработку только файлов, полученных из доверенных источников 5. Активировать режим Киоск-2 для непривилегированных пользователей системы 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash 7. Включить режим замкнутой программной среды 8. Отказаться от использования ПО imagemagick в пользу ПО graphicsmagick Astra Linux 1.8 screen socket.c in GNU Screen through 4.9.0, when installed setuid or setgid (the default on platforms such as Arch Linux and FreeBSD), allows local users to send a privileged SIGHUP signal to any PID, causing a denial of service or disruption of the target process. Уязвимость компонента socket.c оконного менеджера GNU Screen связана с неправильным присвоением разрешений для критичного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:N/I:N/A:H', score=6.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit fdbc55a5 was discovered to contain a segmentation fault via the component mlir::IROperand<mlir::OpOperand. Уязвимость набора инструментов для разработки LLVM Toolchain связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit bd456297 was discovered to contain a segmentation fault via the component mlir::Block::getArgument. Уязвимость компонента mlir::Block::getArgument набора инструментов для разработки LLVM Toolchain, набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit 6c01b5c was discovered to contain a segmentation fault via the component mlir::Type::getDialect(). Уязвимость набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 llvm-toolchain-15 llvm-project commit a0138390 was discovered to contain a segmentation fault via the component mlir::spirv::TargetEnv::TargetEnv(mlir::spirv::TargetEnvAttr). Уязвимость набора инструментов для разработки LLVM Toolchain связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Astra Linux 1.8 linux-6.1 An issue was discovered in drivers/bluetooth/hci_ldisc.c in the Linux kernel 6.2. In hci_uart_tty_ioctl, there is a race condition between HCIUARTSETPROTO and HCIUARTGETPROTO. HCI_UART_PROTO_SET is set before hu->proto is set. A NULL pointer dereference may occur. Уязвимость компонента drivers/bluetooth/hci_ldisc.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля bluetooth.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль bluetooth в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep bluetooth ``` или ``` kmod list | grep bluetooth ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod bluetooth ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install bluetooth /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 imagemagick A vulnerability was found in ImageMagick. This security flaw ouccers as an undefined behaviors of casting double to size_t in svg, mvg and other coders (recurring bugs of CVE-2022-32546). Уязвимость консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) Для нейтрализации угрозы эксплуатации уязвимости необходимо: 1. Использовать ПО imagemagick только на низком или отдельно выделенном уровне целостности 2. Включить блокировку одновременной работы с разными уровнями конфиденциальности в пределах одной сессии 3. Обеспечить запуск ПО imagemagick в изолированной программной среде с применением инструмента Firejail 4. При использовании ПО imagemagick выполнять обработку только файлов, полученных из доверенных источников 5. Активировать режим Киоск-2 для непривилегированных пользователей системы 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash 7. Включить режим замкнутой программной среды 8. Отказаться от использования ПО imagemagick в пользу ПО graphicsmagick Astra Linux 1.8 avahi A vulnerability was found in Avahi, where a reachable assertion exists in avahi_dns_packet_append_record. Уязвимость функции avahi_dns_packet_append_record() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) Для нейтрализации угрозы эксплуатации уязвимостей необходимо в конфигурационном файле Avahi (/etc/avahi/avahi-daemon.conf) установить: ```b disable-user-service-publishing=yes ``` Это запретит публикацию сервисов непривилегированными пользователями. Перезагрузите avahi: ```b sudo systemctl restart avahi-daemon ``` Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_escape_label() function. Уязвимость функции avahi_escape_label() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) Для нейтрализации угрозы эксплуатации уязвимости необходимо проверить необходимость локального обнаружения периферийных устройств. Если не нужно, то отключить демон avahi: ```b sudo systemctl disable avahi-daemon. service && sudo systemctl disable avahi-daemon.socket ``` Проверить состояние демона: ```b sudo systemctl status avahi-daemon ``` Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the dbus_set_host_name function. Уязвимость функции dbus_set_host_name() системы обнаружения сервисов в локальной сети Avahi связана с достижимым утверждением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) - В файле `/etc/avahi/avahi-daemon.conf` параметр host-name должен быть не пустым и не содержать только "A\.B". По-умолачнию должен быть закомментирован. - Настройте права доступа к файлам Avahi так, чтобы их могли изменять только администраторы системы. - При использовании ОС выполнять обработку файлов, полученных только из доверенных источников - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_rdata_parse() function. Уязвимость функции avahi_rdata_parse() системы обнаружения сервисов в локальной сети Avahi связана с недостатком использования функции. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) В конфигурационном файле Avahi (/etc/avahi/avahi-daemon.conf) установить: ` disable-user-service-publishing=yes ` чтобы запретить публикацию сервисов непривилегированными пользователями. Astra Linux 1.8 avahi A vulnerability was found in Avahi. A reachable assertion exists in the avahi_alternative_host_name() function. Уязвимость функции avahi_alternative_host_name() системы обнаружения сервисов в локальной сети Avahi связана с недостатком использования функции assert(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617'), NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) - В файле `/etc/avahi/avahi-daemon.conf` параметр host-name должен быть не пустым и не содержать только точку ".". По-умолачнию должен быть закомментирован. - Отключите D-Bus интеграцию полностью в `/etc/avahi/avahi-daemon.conf`, установив enable-dbus=no, затем перезапустите демон. - Настройте права доступа к файлам Avahi так, чтобы их могли изменять только администраторы системы. - При использовании ОС выполнять обработку файлов, полученных только из доверенных источников - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС Astra Linux 1.8 libxml2 Xmlsoft Libxml2 v2.11.0 was discovered to contain an out-of-bounds read via the xmlSAX2StartElement() function at /libxml2/SAX2.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via supplying a crafted XML file. NOTE: the vendor's position is that the product does not support the legacy SAX1 interface with custom callbacks; there is a crash even without crafted input. Уязвимость функции xmlsax2startelement() библиотеки libxml2 вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Исключить использование устаревшего интерфейса SAX1 с пользовательскими колбэками - Не передавать недоверенный XML на путь SAX‑разбора с кастомными обработчиками Astra Linux 1.8 busybox A use-after-free vulnerability was discovered in xasprintf function in xfuncs_printf.c:344 in BusyBox v.1.36.1. Уязвимость функции xasprintf (xfuncs_printf.c:344) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после ее освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) busybox: - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A use-after-free vulnerability in BusyBox v.1.36.1 allows attackers to cause a denial of service via a crafted awk pattern in the awk.c evaluate function. Уязвимость функции evaluate (awk.c) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 busybox A use-after-free vulnerability was discovered in BusyBox v.1.36.1 via a crafted awk pattern in the awk.c copyvar function. Уязвимость функции copyvar (awk.c) набора UNIX-утилит командной строки BusyBox связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) - Использовать утилиты ПО busybox только на низком или отдельно выделенном уровне целостности - Отказаться от использования ПО busybox в пользу ПО bash - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 edk2 EDK2's Network Package is susceptible to a predictable TCP Initial Sequence Number. This vulnerability can be exploited by an attacker to gain unauthorized access and potentially lead to a loss of Confidentiality. Уязвимость среды разработки для UEFI приложений EDK2 связана с ошибками в коде генератора псевдослучайных чисел. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-338'), NistCWE(cwe='CWE-338')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) edk2: - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов - Активировать и настроить профили пользователей для работы в режиме Киоск-2. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Обрабатывать данные только из доверенных источников, блокируя загрузку непроверенных строковых объектов. Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds write in `f->vendor[i] = get8_packet(f);`. The root cause is an integer overflow in `setup_malloc`. A sufficiently large value in the variable `sz` overflows with `sz+7` in and the negative value passes the maximum available memory buffer check. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к защищаемой информации [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds write in `f->vendor[len] = (char)'\0';`. The root cause is that if `len` read in `start_decoder` is a negative number and `setup_malloc` successfully allocates memory in that case, but memory write is done with a negative index `len`. Similarly if len is INT_MAX the integer overflow len+1 happens in `f->vendor = (char*)setup_malloc(f, sizeof(char) * (len+1));` and `f->comment_list[i] = (char*)setup_malloc(f, sizeof(char) * (len+1));`. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of buffer write in `start_decoder` because at maximum `m->submaps` can be 16 but `submap_floor` and `submap_residue` are declared as arrays of 15 elements. This issue may lead to code execution. Уязвимость библиотек для C/C++ Libstb связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:L', score=6.5) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger memory allocation failure in `start_decoder`. In that case the function returns early, but some of the pointers in `f->comment_list` are left initialized and later `setup_free` is called on these pointers in `vorbis_deinit`. This issue may lead to code execution. Уязвимость компонента stb_vorbis библиотек для C/C++ Libstb связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-415'), NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:L', score=7.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger memory allocation failure in `start_decoder`. In that case the function returns early, the `f->comment_list` is set to `NULL`, but `f->comment_list_length` is not reset. Later in `vorbis_deinit` it tries to dereference the `NULL` pointer. This issue may lead to denial of service. [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 libstb stb_vorbis is a single file MIT licensed library for processing ogg vorbis files. A crafted file may trigger out of bounds read in `DECODE` macro when `var` is negative. As it can be seen in the definition of `DECODE_RAW` a negative `var` is a valid value. This issue may be used to leak internal memory allocation information. Уязвимость библиотек для C/C++ Libstb связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) libstb: - Отказаться от использования библиотеки libstb - При использовании ПО, использующего библиотеку libstb, выполнять обработку данных, полученных только из доверенных источников - Использовать ПО, использующее библиотеку libstb, только на низком или отдельно выделенном уровне целостности - Обеспечить возможность запуска ПО, использующего библиотеку uriparser, только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Включить режим замкнутой программной среды - Запретить установку бита исполнения для всех пользователей, включая администраторов Astra Linux 1.8 linux-6.1 ntfs3 in the Linux kernel through 6.8.0 allows a physically proximate attacker to read kernel memory by mounting a filesystem (e.g., if a Linux distribution is configured to allow unprivileged mounts of removable media) and then leveraging local access to trigger an out-of-bounds read. A length value can be larger than the amount of memory allocated. NOTE: the supplier's perspective is that there is no vulnerability when an attack requires an attacker-modified filesystem image. Уязвимость компонента ntfs3 ядра операционной системы Linux связана с настройками прав доступа по умолчанию. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-276')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apr Lax permissions set by the Apache Portable Runtime library on Unix platforms would allow local users read access to named shared memory segments, potentially revealing sensitive application data. This issue does not affect non-Unix platforms, or builds with APR_USE_SHMEM_SHMGET=1 (apr.h) Users are recommended to upgrade to APR version 1.7.5, which fixes this issue. Уязвимость компонента apr.h библиотеки APR связана с неправильным присвоением разрешений для критичного ресурса. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-732')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) haproxy: - Обеспечить возможность запуска haproxy только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 libebml In libebml before 1.4.5, an integer overflow in MemIOCallback.cpp can occur when reading or writing. It may result in buffer overflows. Уязвимость файла MemIOCallback.cpp библиотеки C++ libebml связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-190'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) - Удалить ПО libebml, если оно не используется и не является зависимостью используемых приложений - При использовании ПО libebml выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: Fix possible NULL dereference in amdgpu_ras_query_error_status_helper() Return invalid error code -EINVAL for invalid block id. Fixes the below: drivers/gpu/drm/amd/amdgpu/amdgpu_ras.c:1183 amdgpu_ras_query_error_status_helper() error: we previously assumed 'info' could be null (see line 1176) Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd: check num of link levels when update pcie param In SR-IOV environment, the value of pcie_table->num_of_link_levels will be 0, and num_of_levels - 1 will cause array index out of bounds Уязвимость компонента drivers/gpu/drm/amd/pm/swsmu/smu13/smu_v13_0.c ядра операционной системы Linux связана с непроверенным индексированием массива. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: clk: sunxi-ng: h6: Reparent CPUX during PLL CPUX rate change While PLL CPUX clock rate change when CPU is running from it works in vast majority of cases, now and then it causes instability. This leads to system crashes and other undefined behaviour. After a lot of testing (30+ hours) while also doing a lot of frequency switches, we can't observe any instability issues anymore when doing reparenting to stable clock like 24 MHz oscillator. Уязвимость компонента h6 ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Input: cyapa - add missing input core locking to suspend/resume functions Grab input->mutex during suspend/resume functions like it is done in other input drivers. This fixes the following warning during system suspend/resume cycle on Samsung Exynos5250-based Snow Chromebook: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 1680 at drivers/input/input.c:2291 input_device_enabled+0x68/0x6c Modules linked in: ... CPU: 1 PID: 1680 Comm: kworker/u4:12 Tainted: G W 6.6.0-rc5-next-20231009 #14109 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound async_run_entry_fn unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x58/0x70 dump_stack_lvl from __warn+0x1a8/0x1cc __warn from warn_slowpath_fmt+0x18c/0x1b4 warn_slowpath_fmt from input_device_enabled+0x68/0x6c input_device_enabled from cyapa_gen3_set_power_mode+0x13c/0x1dc cyapa_gen3_set_power_mode from cyapa_reinitialize+0x10c/0x15c cyapa_reinitialize from cyapa_resume+0x48/0x98 cyapa_resume from dpm_run_callback+0x90/0x298 dpm_run_callback from device_resume+0xb4/0x258 device_resume from async_resume+0x20/0x64 async_resume from async_run_entry_fn+0x40/0x15c async_run_entry_fn from process_scheduled_works+0xbc/0x6a8 process_scheduled_works from worker_thread+0x188/0x454 worker_thread from kthread+0x108/0x140 kthread from ret_from_fork+0x14/0x28 Exception stack(0xf1625fb0 to 0xf1625ff8) ... ---[ end trace 0000000000000000 ]--- ... ------------[ cut here ]------------ WARNING: CPU: 1 PID: 1680 at drivers/input/input.c:2291 input_device_enabled+0x68/0x6c Modules linked in: ... CPU: 1 PID: 1680 Comm: kworker/u4:12 Tainted: G W 6.6.0-rc5-next-20231009 #14109 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound async_run_entry_fn unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x58/0x70 dump_stack_lvl from __warn+0x1a8/0x1cc __warn from warn_slowpath_fmt+0x18c/0x1b4 warn_slowpath_fmt from input_device_enabled+0x68/0x6c input_device_enabled from cyapa_gen3_set_power_mode+0x13c/0x1dc cyapa_gen3_set_power_mode from cyapa_reinitialize+0x10c/0x15c cyapa_reinitialize from cyapa_resume+0x48/0x98 cyapa_resume from dpm_run_callback+0x90/0x298 dpm_run_callback from device_resume+0xb4/0x258 device_resume from async_resume+0x20/0x64 async_resume from async_run_entry_fn+0x40/0x15c async_run_entry_fn from process_scheduled_works+0xbc/0x6a8 process_scheduled_works from worker_thread+0x188/0x454 worker_thread from kthread+0x108/0x140 kthread from ret_from_fork+0x14/0x28 Exception stack(0xf1625fb0 to 0xf1625ff8) ... ---[ end trace 0000000000000000 ]--- Уязвимость функции cyapa_suspend() ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: can: j1939: enhanced error handling for tightly received RTS messages in xtp_rx_rts_session_new This patch enhances error handling in scenarios with RTS (Request to Send) messages arriving closely. It replaces the less informative WARN_ON_ONCE backtraces with a new error handling method. This provides clearer error messages and allows for the early termination of problematic sessions. Previously, sessions were only released at the end of j1939_xtp_rx_rts(). Potentially this could be reproduced with something like: testj1939 -r vcan0:0x80 & while true; do # send first RTS cansend vcan0 18EC8090#1014000303002301; # send second RTS cansend vcan0 18EC8090#1014000303002301; # send abort cansend vcan0 18EC8090#ff00000000002301; done Уязвимость функции j1939_xtp_rx_rts_session_new() (net/can/j1939/transport.c) ядра операционной системы Linux связана с некорректной обработкой ошибок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: aspeed: Fix memory overwrite if timing is 1600x900 When capturing 1600x900, system could crash when system memory usage is tight. The way to reproduce this issue: 1. Use 1600x900 to display on host 2. Mount ISO through 'Virtual media' on OpenBMC's web 3. Run script as below on host to do sha continuously #!/bin/bash while [ [1] ]; do find /media -type f -printf '"%h/%f"\n' | xargs sha256sum done 4. Open KVM on OpenBMC's web The size of macro block captured is 8x8. Therefore, we should make sure the height of src-buf is 8 aligned to fix this issue. Уязвимость функции aspeed_video_get_resolution() модуля drivers/media/platform/aspeed/aspeed-video.c - драйвера поддержки мультимедийных устройств ядра операционной системы Linux связана с выходом операции за границы буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: pci: cx23885: check cx23885_vdev_init() return cx23885_vdev_init() can return a NULL pointer, but that pointer is used in the next line without a check. Add a NULL pointer check and go to the error unwind if it is NULL. Уязвимость компонента media ядра операционной системы Linux связана с разыменованием указателя NULL в функции cx23885_video_register(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: IORING_OP_READ did not correctly consume the provided buffer list when read i/o returned < 0 (except for -EAGAIN and -EIOCBQUEUED return). This can lead to a potential use-after-free when the completion via io_rw_done runs at separate context. Уязвимость компонента rw.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: do not run mt76_unregister_device() on unregistered hw Trying to probe a mt7921e pci card without firmware results in a successful probe where ieee80211_register_hw hasn't been called. When removing the driver, ieee802111_unregister_hw is called unconditionally leading to a kernel NULL pointer dereference. Fix the issue running mt76_unregister_device routine just for registered hw. [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: posix-timers: Ensure timer ID search-loop limit is valid posix_timer_add() tries to allocate a posix timer ID by starting from the cached ID which was stored by the last successful allocation. This is done in a loop searching the ID space for a free slot one by one. The loop has to terminate when the search wrapped around to the starting point. But that's racy vs. establishing the starting point. That is read out lockless, which leads to the following problem: CPU0 CPU1 posix_timer_add() start = sig->posix_timer_id; lock(hash_lock); ... posix_timer_add() if (++sig->posix_timer_id < 0) start = sig->posix_timer_id; sig->posix_timer_id = 0; So CPU1 can observe a negative start value, i.e. -1, and the loop break never happens because the condition can never be true: if (sig->posix_timer_id == start) break; While this is unlikely to ever turn into an endless loop as the ID space is huge (INT_MAX), the racy read of the start value caught the attention of KCSAN and Dmitry unearthed that incorrectness. Rewrite it so that all id operations are under the hash lock. Уязвимость компонента posix-timers ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: drop unnecessary user-triggerable WARN_ONCE in verifierl log It's trivial for user to trigger "verifier log line truncated" warning, as verifier has a fixed-sized buffer of 1024 bytes (as of now), and there are at least two pieces of user-provided information that can be output through this buffer, and both can be arbitrarily sized by user: - BTF names; - BTF.ext source code lines strings. Verifier log buffer should be properly sized for typical verifier state output. But it's sort-of expected that this buffer won't be long enough in some circumstances. So let's drop the check. In any case code will work correctly, at worst truncating a part of a single line output. [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Silence a warning in btf_type_id_size() syzbot reported a warning in [1] with the following stacktrace: WARNING: CPU: 0 PID: 5005 at kernel/bpf/btf.c:1988 btf_type_id_size+0x2d9/0x9d0 kernel/bpf/btf.c:1988 ... RIP: 0010:btf_type_id_size+0x2d9/0x9d0 kernel/bpf/btf.c:1988 ... Call Trace: <TASK> map_check_btf kernel/bpf/syscall.c:1024 [inline] map_create+0x1157/0x1860 kernel/bpf/syscall.c:1198 __sys_bpf+0x127f/0x5420 kernel/bpf/syscall.c:5040 __do_sys_bpf kernel/bpf/syscall.c:5162 [inline] __se_sys_bpf kernel/bpf/syscall.c:5160 [inline] __x64_sys_bpf+0x79/0xc0 kernel/bpf/syscall.c:5160 do_syscall_x64 arch/x86/entry/common.c:50 [inline] do_syscall_64+0x39/0xb0 arch/x86/entry/common.c:80 entry_SYSCALL_64_after_hwframe+0x63/0xcd With the following btf [1] DECL_TAG 'a' type_id=4 component_idx=-1 [2] PTR '(anon)' type_id=0 [3] TYPE_TAG 'a' type_id=2 [4] VAR 'a' type_id=3, linkage=static and when the bpf_attr.btf_key_type_id = 1 (DECL_TAG), the following WARN_ON_ONCE in btf_type_id_size() is triggered: if (WARN_ON_ONCE(!btf_type_is_modifier(size_type) && !btf_type_is_var(size_type))) return NULL; Note that 'return NULL' is the correct behavior as we don't want a DECL_TAG type to be used as a btf_{key,value}_type_id even for the case like 'DECL_TAG -> STRUCT'. So there is no correctness issue here, we just want to silence warning. To silence the warning, I added DECL_TAG as one of kinds in btf_type_nosize() which will cause btf_type_id_size() returning NULL earlier without the warning. [1] https://lore.kernel.org/bpf/000000000000e0df8d05fc75ba86@google.com/ [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 opensc A vulnerability was found in OpenSC where PKCS#1 encryption padding removal is not implemented as side-channel resistant. This issue may result in the potential leak of private data. Уязвимость библиотеки работы со смарт-картами OpenSC связана с раскрытием информации через несоответствие. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-203'), NistCWE(cwe='CWE-203')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:L', score=5.6) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 openssl Issue summary: Checking excessively long invalid RSA public keys may take a long time. Impact summary: Applications that use the function EVP_PKEY_public_check() to check RSA public keys may experience long delays. Where the key that is being checked has been obtained from an untrusted source this may lead to a Denial of Service. When function EVP_PKEY_public_check() is called on RSA public keys, a computation is done to confirm that the RSA modulus, n, is composite. For valid RSA keys, n is a product of two or more large primes and this computation completes quickly. However, if n is an overly large prime, then this computation would take a long time. An application that calls EVP_PKEY_public_check() and supplies an RSA key obtained from an untrusted source could be vulnerable to a Denial of Service attack. The function EVP_PKEY_public_check() is not called from other OpenSSL functions however it is called from the OpenSSL pkey command line application. For that reason that application is also vulnerable if used with the '-pubin' and '-check' options on untrusted data. The OpenSSL SSL/TLS implementation is not affected by this issue. The OpenSSL 3.0 and 3.1 FIPS providers are affected by this issue. Уязвимость функции EVP_PKEY_public_check() инструментария для протоколов TLS и SSL OpenSSL связана с некорректным вводом данных, используемых как условие выполнения цикла. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-606')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:H', score=5.9) openssl0: - Обеспечить возможность запуска openssl0 только доверенными пользователями ОС - Отказаться от использования openssl0 в пользу openssl - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам - Активировать и настроить профили пользователей для работы в режиме Киоск-2 openssl: - Обеспечить возможность запуска openssl только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Рекомендуется с помощью межсетевого экрана (firewall) отключить доступ пользователям к небезопасным сайтам pyopenssl: - Использовать ПО pyopenssl только на низком или отдельно выделенном уровне целостности - При использовании ПО pyopenssl выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска py только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 bind9 A malicious client can send many DNS messages over TCP, potentially causing the server to become unstable while the attack is in progress. The server may recover after the attack ceases. Use of ACLs will not mitigate the attack. This issue affects BIND 9 versions 9.18.1 through 9.18.27, 9.19.0 through 9.19.24, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 mpg123 An out-of-bounds write flaw was found in mpg123 when handling crafted streams. When decoding PCM, the libmpg123 may write past the end of a heap-located buffer. Consequently, heap corruption may happen, and arbitrary code execution is not discarded. The complexity required to exploit this flaw is considered high as the payload must be validated by the MPEG decoder and the PCM synth before execution. Additionally, to successfully execute the attack, the user must scan through the stream, making web live stream content (such as web radios) a very unlikely attack vector. Уязвимость консольного MPEG аудиоплеера mpg123 связана с возможностью записи за границами выделенной памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код или вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:U/C:H/I:H/A:H', score=6.7) Astra Linux 1.8 chromium Use after free in Serial in Google Chrome prior to 130.0.6723.116 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Serial веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Extensions in Google Chrome prior to 131.0.6778.69 allowed a remote attacker to bypass site isolation via a crafted Chrome Extension. (Chromium security severity: High) Уязвимость компонента Расширения веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданного расширения [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Autofill in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Автозаполнение веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Accessibility in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who had compromised the renderer process to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: Medium) Уязвимость компонента Accessibility веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in Blink in Google Chrome prior to 131.0.6778.69 allowed a remote attacker who convinced a user to engage in specific UI gestures to perform UI spoofing via a crafted HTML page. (Chromium security severity: Medium) Уязвимость модуля отображения Blink веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Inappropriate implementation in FileSystem in Google Chrome prior to 131.0.6778.69 allowed a remote attacker to bypass filesystem restrictions via a crafted HTML page. (Chromium security severity: Low) Уязвимость компонента FileSystem веб-браузера Google Chrome связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 thunderbird Using remote content in OpenPGP encrypted messages can lead to the disclosure of plaintext. This vulnerability affects Thunderbird < 128.4.3 and Thunderbird < 132.0.1. Уязвимость реализации стандарта шифрования электронной почты OpenPGP почтового клиента Mozilla Thunderbird связана с недостаточной защитой служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию [NistCWE(cwe='CWE-312')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:N', score=4.3) thunderbird: 1. Удалить ПО Thunderbird, если оно не используется 2. Отказаться от использования ПО Thunderbird в пользу ПО Evolution 3. Обеспечить запуск ПО Thunderbird в изолированной программной среде с применением инструмента Firejail Astra Linux 1.8 bind9 It is possible to construct a zone such that some queries to it will generate responses containing numerous records in the Additional section. An attacker sending many such queries can cause either the authoritative server itself or an independent resolver to use disproportionate resources processing the queries. Zones will usually need to have been deliberately crafted to attack this exposure. This issue affects BIND 9 versions 9.11.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.32, 9.20.0 through 9.20.4, 9.21.0 through 9.21.3, 9.11.3-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.32-S1. Уязвимость сервера DNS BIND связана с асимметричным потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-405')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) 1. Используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл _/etc/named.conf_ 2. Добавить в файл _/etc/named.conf_ строку _minimal-responses yes;_ 3. Сохранить файл 4. Перезапустить службу bind9: ` sudo systemctl restart bind9 ` Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, due to an error in convert.quoted-printable-decode filter certain data can lead to buffer overread by one byte, which can in certain circumstances lead to crashes or disclose content of other memory areas. Уязвимость фильтра convert.quoted-printable-decode интерпретатора языка программирования PHP связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:N/A:L', score=4.8) - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, when using streams with configured proxy and "request_fulluri" option, the URI is not properly sanitized which can lead to HTTP request smuggling and allow the attacker to use the proxy to perform arbitrary HTTP requests originating from the server, thus potentially gaining access to resources not normally available to the external user. Уязвимость конфигурации request_fulluri интерпретатора языка программирования PHP связана с непринятием мер по нейтрализации CRLF-последовательностей в результате использования значения true. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, отправить скрытый HTTP-запрос (атака типа HTTP Request Smuggling) [NistCWE(cwe='CWE-20'), NistCWE(cwe='CWE-74')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N', score=4.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 php8.2 In PHP versions 8.1.* before 8.1.31, 8.2.* before 8.2.26, 8.3.* before 8.3.14, uncontrolled long string inputs to ldap_escape() function on 32-bit systems can cause an integer overflow, resulting in an out-of-bounds write. Уязвимость компонентов dblib и firebird интерпретатора языка программирования PHP связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём внедрения специально сформированного ввода в приложение [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) php8.2: - Удалить ПО php, если оно не используется и не является зависимостью других пакетов; - Запускать ПО php в изолированной программной среде с применением инструмента Firejail; - При использовании ПО php выполнять обработку файлов, полученных только из доверенных источников; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Для непривилегированных пользователей активировать блокировку интерпретаторов; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Включить режим замкнутой программной среды. Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.85 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird An attacker could cause a select dropdown to be shown over another tab; this could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) Astra Linux 1.8 firefox, thunderbird Enhanced Tracking Protection's Strict mode may have inadvertently allowed a CSP `frame-src` bypass and DOM-based XSS through the Google SafeFrame shim in the Web Compatibility extension. This issue could have exposed users to malicious frames masquerading as legitimate content. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Firefox ESR < 115.18, Thunderbird < 133, Thunderbird < 128.5, and Thunderbird < 115.18. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N', score=6.1) Astra Linux 1.8 firefox, thunderbird A crafted URL containing Arabic script and whitespace characters could have hidden the true origin of the page, resulting in a potential spoofing attack. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird The application failed to account for exceptions thrown by the `loadManifestFromFile` method during add-on signature verification. This flaw, triggered by an invalid or unsupported extension manifest, could have caused runtime errors that disrupted the signature validation process. As a result, the enforcement of signature validation for unrelated add-ons may have been bypassed. Signature validation in this context is used to ensure that third-party applications on the user's computer have not tampered with the user's extensions, limiting the impact of this issue. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость функции loadManifestFromFile веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с некорректным подтверждением криптографической подписи данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-347')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:N', score=5.4) Astra Linux 1.8 firefox, thunderbird When handling keypress events, an attacker may have been able to trick a user into bypassing the "Open Executable File?" confirmation dialog. This could have led to malicious code execution. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox, thunderbird Memory safety bugs present in Firefox 132, Firefox ESR 128.4, and Thunderbird 128.4. Some of these bugs showed evidence of memory corruption and we presume that with enough effort some of these could have been exploited to run arbitrary code. This vulnerability affects Firefox < 133, Firefox ESR < 128.5, Thunderbird < 133, and Thunderbird < 128.5. Уязвимость веб-браузеров Firefox и Firefox ESR, почтового клиента Thunderbird связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Astra Linux 1.8 firefox Malicious websites may have been able to perform user intent confirmation through tapjacking. This could have led to users unknowingly approving the launch of external applications, potentially exposing them to underlying vulnerabilities. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с некорректным ограничением визуализируемых слоев пользовательского интерфейса. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-1021')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:N', score=8.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox The incorrect domain may have been displayed in the address bar during an interrupted navigation attempt. This could have led to user confusion and possible spoofing attacks. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:L/A:N', score=4.3) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox, thunderbird A double-free issue could have occurred in `sec_pkcs7_decoder_start_decrypt()` when handling an error path. Under specific conditions, the same symmetric key could have been freed twice, potentially leading to memory corruption. This vulnerability affects Firefox < 133, Thunderbird < 133, Firefox ESR < 128.7, and Thunderbird < 128.7. Уязвимость функции sec_pkcs7_decoder_start_decrypt() веб-браузера Firefox, почтового клиента Thunderbird связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Astra Linux 1.8 firefox `NSC_DeriveKey` inadvertently assumed that the `phKey` parameter is always non-NULL. When it was passed as NULL, a segmentation fault (SEGV) occurred, leading to crashes. This behavior conflicted with the PKCS#11 v3.0 specification, which allows `phKey` to be NULL for certain mechanisms. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость функции NSC_DeriveKey веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox A null pointer dereference may have inadvertently occurred in `pk12util`, and specifically in the `SEC_ASN1DecodeItem_Util` function, when handling malformed or improperly formatted input files. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость функции SEC_ASN1DecodeItem_Util веб-браузера Firefox, почтового клиента Thunderbird связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 firefox Missing thread synchronization primitives could have led to a data race on members of the PlaybackParams structure. This vulnerability affects Firefox < 133 and Thunderbird < 133. Уязвимость веб-браузера Firefox, почтового клиента Thunderbird связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) firefox: 1. Удалить ПО Firefox, если оно не используется 2. Отказаться от использования ПО Firefox в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox: - При использовании ПО Firefox выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Отключите JavaScript в Firefox: в адресной строке откройте `about:config` и установите значение параметра `javascript.enabled` на `false` - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox только доверенными пользователями ОС - Обеспечить запуск ПО Firefox на промежуточном (отличном от максимального) уровне целостности firefox-esr: 1. Удалить ПО Firefox ESR, если оно не используется 2. Отказаться от использования ПО Firefox ESR в пользу ПО Chromium 3. Обеспечить запуск ПО Firefox ESR в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Firefox ESR: - При использовании ПО Firefox ESR выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Firefox ESR только доверенными пользователями ОС - Обеспечить запуск ПО Firefox ESR на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.108 allowed a remote attacker to potentially exploit object corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 rsync A heap-based buffer overflow flaw was found in the rsync daemon. This issue is due to improper handling of attacker-controlled checksum lengths (s2length) in the code. When MAX_DIGEST_LEN exceeds the fixed SUM_LENGTH (16 bytes), an attacker can write out of bounds in the sum2 buffer. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-122'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A flaw was found in rsync which could be triggered when rsync compares file checksums. This flaw allows an attacker to manipulate the checksum length (s2length) to cause a comparison between a checksum and uninitialized memory and leak one byte of uninitialized stack data at a time. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-908'), NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) Перекомпилируйте rsync с флагом -ftrivial-auto-var-init=zero для обнуления стека Astra Linux 1.8 rsync A flaw was found in rsync. It could allow a server to enumerate the contents of an arbitrary file from the client's machine. This issue occurs when files are being copied from a client to a server. During this process, the rsync server will send checksums of local data to the client to compare with in order to determine what data needs to be sent to the server. By sending specially constructed checksum values for arbitrary files, an attacker may be able to reconstruct the data of those files byte-by-byte based on the responses from the client. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с недостатками обработки ошибочных ситуаций. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-390')] None NistCVSS3(cvss='AV:N/AC:H/PR:N/UI:R/S:C/C:H/I:N/A:N', score=6.1) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A path traversal vulnerability exists in rsync. It stems from behavior enabled by the `--inc-recursive` option, a default-enabled option for many client options and can be enabled by the server even if not explicitly enabled by the client. When using the `--inc-recursive` option, a lack of proper symlink verification coupled with deduplication checks occurring on a per-file-list basis could allow a server to write files outside of the client's intended destination directory. A malicious server could write malicious files to arbitrary locations named after valid directories/paths on the client. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью вредоносного файла [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 rsync A flaw was found in rsync. When using the `--safe-links` option, the rsync client fails to properly verify if a symbolic link destination sent from the server contains another symbolic link within it. This results in a path traversal vulnerability, which may lead to arbitrary file write outside the desired directory. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-22'), NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.139 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843'), NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Use after free in Translate in Google Chrome prior to 131.0.6778.139 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Type Confusion in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с ошибками преобразования типов данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-843')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Out of bounds memory access in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 chromium Use after free in Compositing in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to potentially exploit heap corruption via a crafted HTML page. (Chromium security severity: High) Уязвимость компонента Compositing веб-браузера Google Chrome связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) chromium: 1. Удалить ПО Chromium, если оно не используется 2. Отказаться от использования ПО Chromium в пользу ПО Firefox 3. Обеспечить запуск ПО Chromium в изолированной программной среде с применением инструмента Firejail 4. Выполнить безопасную настройку Chromium: - При использовании ПО Chromium выполнять обработку файлов и ссылок, полученных только из доверенных источников - Отказаться от установки и использования недоверенных расширений - При использовании ПО chromium версии 122.0.6261.94 и выше отключить JavaScript в браузере. Для этого выполните следующее: - Введите chrome://settings/content/javascript в адресную строку и нажмите Enter - Переключите разрешение на Запретить сайтам использовать JavaScript - Перезапустите Chromium - Настроить брандмауэр или сетевые политики для ограничения доступа к подозрительным ресурсам - Обеспечить возможность запуска ПО Chromium только доверенными пользователями ОС - Обеспечить запуск ПО Chromium на промежуточном (отличном от максимального) уровне целостности Astra Linux 1.8 chromium Out of bounds write in V8 in Google Chrome prior to 131.0.6778.204 allowed a remote attacker to execute arbitrary code inside a sandbox via a crafted HTML page. (Chromium security severity: High) Уязвимость обработчика JavaScript-сценариев V8 веб-браузера Google Chrome связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданной HTML страницы [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) Для версий ПО Chromium 122.0.6261.94 и выше для нейтрализации угрозы эксплуатации уязвимости необходимо отключить оптимизатор V8: 1. Введите chrome://settings/content/v8 в адресную строку и нажмите Enter. 2. В появившемся списке выберите Запретить сайтам использовать оптимизатор V8. 3. Перезапустите Chromium. Astra Linux 1.8 bind9 Clients using DNS-over-HTTPS (DoH) can exhaust a DNS resolver's CPU and/or memory by flooding it with crafted valid or invalid HTTP/2 traffic. This issue affects BIND 9 versions 9.18.0 through 9.18.32, 9.20.0 through 9.20.4, 9.21.0 through 9.21.3, and 9.18.11-S1 through 9.18.32-S1. Уязвимость реализации DoH сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) Уязвимость напрямую связана с функцией DoH. Если ваш сервер не использует этот протокол, отключите его: ```b sudo nano /etc/bind/named.conf``` В разделе options удалите или закомментируйте строки, связанные с DoH: ```b #doh-service "https://example.com/dns-query";``` Astra Linux 1.8 rsync A flaw was found in rsync. This vulnerability arises from a race condition during rsync's handling of symbolic links. Rsync's default behavior when encountering symbolic links is to skip them. If an attacker replaced a regular file with a symbolic link at the right time, it was possible to bypass the default behavior and traverse symbolic links. Depending on the privileges of the rsync process, an attacker could leak sensitive information, potentially leading to privilege escalation. Уязвимость утилиты для передачи и синхронизации файлов Rsync связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:H/I:N/A:N', score=5.6) rsync: - При использовании ПО rsync отказаться от использования параметра --protect-args - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 opensc The use-after-free vulnerability was found in the AuthentIC driver in OpenSC packages, occuring in the card enrolment process using pkcs15-init when a user or administrator enrols or modifies cards. An attacker must have physical access to the computer system and requires a crafted USB device or smart card to present the system with specially crafted responses to the APDUs, which are considered high complexity and low severity. This manipulation can allow for compromised card management operations during enrolment. Уязвимость драйвера AuthentIC библиотеки работы со смарт-картами OpenSC связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:P/AC:H/PR:N/UI:R/S:C/C:L/I:L/A:N', score=3.4) opensc: - Использовать пакет opensc только при отсутствии альтернатив - Обеспечить возможность запуска opensc только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 freeipa A flaw was found in FreeIPA. This issue may allow a remote attacker to craft a HTTP request with parameters that can be interpreted as command arguments to kinit on the FreeIPA server, which can lead to a denial of service. Уязвимость функции run() сценария ipautil.py сервера FreeIPA связана с недостаточной проверкой входных данных в процессе установления сеанса при обработке параметра user (/sip/session/login_password). Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании путем отправки специально созданных HTTP-запросов [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) freeipa: - Настройте правила брандмауэра для разрешения только необходимых портов - Разрешите доступ только с доверенных IP-адресов - Настройте FreeIPA для использования SSL/TLS для шифрования всех сетевых коммуникаций - Используйте доверенные сертификаты - Предоставляйте пользователям только те права, которые им необходимы для выполнения их задач - Настройте ограничения на количество попыток входа и используйте CAPTCHA - Настройте правила HBAC для управления доступом к хостам на основе ролей и групп пользователей - Запускать ПО freeipa в изолированной программной среде - Включить режим замкнутой программной среды - Включить мандатный контроль целостности (МКЦ) - Включить межсетевой экран ufw - Отключить и удалить неиспользуемые учётные записи пользователей Astra Linux 1.8 bind9 Resolver caches and authoritative zone databases that hold significant numbers of RRs for the same hostname (of any RTYPE) can suffer from degraded performance as content is being added or updated, and also when handling client queries for this name. This issue affects BIND 9 versions 9.11.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.4-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) В файле `/etc/bind/named.conf.options` добавить параметр для контроля числа записей одного типа: ```bash options { max-records-per-type 100; }; ``` Astra Linux 1.8 bind9 If a server hosts a zone containing a "KEY" Resource Record, or a resolver DNSSEC-validates a "KEY" Resource Record from a DNSSEC-signed domain in cache, a client can exhaust resolver CPU resources by sending a stream of SIG(0) signed requests. This issue affects BIND 9 versions 9.0.0 through 9.11.37, 9.16.0 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.9.3-S1 through 9.11.37-S1, 9.16.8-S1 through 9.16.49-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 Hardware logic with insecure de-synchronization in Intel(R) DSA and Intel(R) IAA for some Intel(R) 4th or 5th generation Xeon(R) processors may allow an authorized user to potentially enable escalation of privilege local access Уязвимость ядра операционной системы Linux связана с несоответствием между аппаратной логикой для обработки ошибок и проверкой безопасности. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1264'), NistCWE(cwe='CWE-400')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:C/C:N/I:H/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 zabbix User with no permission to any of the Hosts can access and view host count & other statistics through System Information Widget in Global View Dashboard. Уязвимость универсальной системы мониторинга Zabbix связана с неправильным сохранением разрешений. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-281'), NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:L/I:N/A:N', score=4.3) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix When a URL is added to the map element, it is recorded in the database with sequential IDs. Upon adding a new URL, the system retrieves the last sysmapelementurlid value and increments it by one. However, an issue arises when a user manually changes the sysmapelementurlid value by adding sysmapelementurlid + 1. This action prevents others from adding URLs to the map element. Уязвимость системы мониторинга Zabbix связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:N/A:L', score=2.2) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Zabbix allows to configure SMS notifications. AT command injection occurs on "Zabbix Server" because there is no validation of "Number" field on Web nor on Zabbix server side. Attacker can run test of SMS providing specially crafted phone number and execute additional AT commands on modem. Уязвимость универсальной системы мониторинга Zabbix связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-77'), NistCWE(cwe='CWE-77')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:N/S:C/C:N/I:L/A:N', score=3.0) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Setting SMS media allows to set GSM modem file. Later this file is used as Linux device. But due everything is a file for Linux, it is possible to set another file, e.g. log file and zabbix_server will try to communicate with it as modem. As a result, log file will be broken with AT commands and small part for log file content will be leaked to UI. Уязвимость универсальной системы мониторинга Zabbix связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:U/C:N/I:L/A:N', score=2.7) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel through 6.7.1, there is a use-after-free in cec_queue_msg_fh, related to drivers/media/cec/core/cec-adap.c and drivers/media/cec/core/cec-api.c. Уязвимость функции rds_recv_track_latency (drivers/media/cec/core/cec-api.c) ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici already cleared Authorization headers on cross-origin redirects, but did not clear `Proxy-Authentication` headers. This issue has been patched in versions 5.28.3 and 6.6.1. Users are advised to upgrade. There are no known workarounds for this vulnerability. Уязвимость клиента HTTP/1.1 Undici программной платформы Node.js связана с недостаточной защитой служебных данных в результате некорректной очистки заголовков Proxy-Authentication. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.9) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 linux-6.1 printer_write in drivers/usb/gadget/function/f_printer.c in the Linux kernel through 6.7.4 does not properly call usb_ep_queue, which might allow attackers to cause a denial of service or have unspecified other impact. Уязвимость функции printer_write компонента drivers/usb/gadget/function/f_printer.c ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-703')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mlxsw: spectrum_acl_tcam: Fix NULL pointer dereference in error path When calling mlxsw_sp_acl_tcam_region_destroy() from an error path after failing to attach the region to an ACL group, we hit a NULL pointer dereference upon 'region->group->tcam' [1]. Fix by retrieving the 'tcam' pointer using mlxsw_sp_acl_to_tcam(). [1] BUG: kernel NULL pointer dereference, address: 0000000000000000 [...] RIP: 0010:mlxsw_sp_acl_tcam_region_destroy+0xa0/0xd0 [...] Call Trace: mlxsw_sp_acl_tcam_vchunk_get+0x88b/0xa20 mlxsw_sp_acl_tcam_ventry_add+0x25/0xe0 mlxsw_sp_acl_rule_add+0x47/0x240 mlxsw_sp_flower_replace+0x1a9/0x1d0 tc_setup_cb_add+0xdc/0x1c0 fl_hw_replace_filter+0x146/0x1f0 fl_change+0xc17/0x1360 tc_new_tfilter+0x472/0xb90 rtnetlink_rcv_msg+0x313/0x3b0 netlink_rcv_skb+0x58/0x100 netlink_unicast+0x244/0x390 netlink_sendmsg+0x1e4/0x440 ____sys_sendmsg+0x164/0x260 ___sys_sendmsg+0x9a/0xe0 __sys_sendmsg+0x7a/0xc0 do_syscall_64+0x40/0xe0 entry_SYSCALL_64_after_hwframe+0x63/0x6b Уязвимость функции mlxsw_sp_acl_tcam_region_destroy() компонента drivers/net/ethernet/mellanox/mlxsw/spectrum_acl_tcam.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix kmemleak of rdev->serial If kobject_add() is fail in bind_rdev_to_array(), 'rdev->serial' will be alloc not be freed, and kmemleak occurs. unreferenced object 0xffff88815a350000 (size 49152): comm "mdadm", pid 789, jiffies 4294716910 hex dump (first 32 bytes): 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc f773277a): [<0000000058b0a453>] kmemleak_alloc+0x61/0xe0 [<00000000366adf14>] __kmalloc_large_node+0x15e/0x270 [<000000002e82961b>] __kmalloc_node.cold+0x11/0x7f [<00000000f206d60a>] kvmalloc_node+0x74/0x150 [<0000000034bf3363>] rdev_init_serial+0x67/0x170 [<0000000010e08fe9>] mddev_create_serial_pool+0x62/0x220 [<00000000c3837bf0>] bind_rdev_to_array+0x2af/0x630 [<0000000073c28560>] md_add_new_disk+0x400/0x9f0 [<00000000770e30ff>] md_ioctl+0x15bf/0x1c10 [<000000006cfab718>] blkdev_ioctl+0x191/0x3f0 [<0000000085086a11>] vfs_ioctl+0x22/0x60 [<0000000018b656fe>] __x64_sys_ioctl+0xba/0xe0 [<00000000e54e675e>] do_syscall_64+0x71/0x150 [<000000008b0ad622>] entry_SYSCALL_64_after_hwframe+0x6c/0x74 Уязвимость функции bind_rdev_to_array() модуля drivers/md/md.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix potencial out-of-bounds when buffer offset is invalid I found potencial out-of-bounds when buffer offset fields of a few requests is invalid. This patch set the minimum value of buffer offset field to ->Buffer offset to validate buffer length. Уязвимость функции smb2_get_data_area_len() в модуле fs/smb/server/smb2misc.c реализации сервера протокола SMB ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=8.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ksmbd: fix slab-out-of-bounds in smb_strndup_from_utf16() If ->NameOffset of smb2_create_req is smaller than Buffer offset of smb2_create_req, slab-out-of-bounds read can happen from smb2_open. This patch set the minimum value of the name offset to the buffer offset to validate name length of smb2_create_req(). Уязвимость компонента ksmbd ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Squashfs: check the inode number is not the invalid value of zero Syskiller has produced an out of bounds access in fill_meta_index(). That out of bounds access is ultimately caused because the inode has an inode number with the invalid value of zero, which was not checked. The reason this causes the out of bounds access is due to following sequence of events: 1. Fill_meta_index() is called to allocate (via empty_meta_index()) and fill a metadata index. It however suffers a data read error and aborts, invalidating the newly returned empty metadata index. It does this by setting the inode number of the index to zero, which means unused (zero is not a valid inode number). 2. When fill_meta_index() is subsequently called again on another read operation, locate_meta_index() returns the previous index because it matches the inode number of 0. Because this index has been returned it is expected to have been filled, and because it hasn't been, an out of bounds access is performed. This patch adds a sanity check which checks that the inode number is not zero when the inode is created and returns -EINVAL if it is. [phillip@squashfs.org.uk: whitespace fix] Уязвимость компонента fs/squashfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nft_set_pipapo: walk over current view on netlink dump The generation mask can be updated while netlink dump is in progress. The pipapo set backend walk iterator cannot rely on it to infer what view of the datastructure is to be used. Add notation to specify if user wants to read/update the set. Based on patch from Florian Westphal. Уязвимость функции nft_map_deactivate() модуля net/netfilter/nf_tables_api.c компонента netfilter ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: usbtv: Remove useless locks in usbtv_video_free() Remove locks calls in usbtv_video_free() because are useless and may led to a deadlock as reported here: https://syzkaller.appspot.com/x/bisect.txt?x=166dc872180000 Also remove usbtv_stop() call since it will be called when unregistering the device. Before 'c838530d230b' this issue would only be noticed if you disconnect while streaming and now it is noticeable even when disconnecting while not streaming. [hverkuil: fix minor spelling mistake in log message] Уязвимость компонента usbtv-video.c ядра операционной системы Linux связана с ошибками при блокировке потоков. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nf_tables: use timestamp to check for set element timeout Add a timestamp field at the beginning of the transaction, store it in the nftables per-netns area. Update set backend .insert, .deactivate and sync gc path to use the timestamp, this avoids that an element expires while control plane transaction is still unfinished. .lookup and .update, which are used from packet path, still use the current time to check if the element has expired. And .get path and dump also since this runs lockless under rcu read size lock. Then, there is async gc which also needs to check the current time since it runs asynchronously from a workqueue. Уязвимость компонента nf_tables netfilter ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или повысить свои привилегии путем отправки специально созданного запроса [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля sch_netem.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль sch_netem в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep sch_netem ``` или ``` kmod list | grep sch_netem ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod sch_netem ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install sch_netem /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: Fix use-after-free bugs caused by sco_sock_timeout When the sco connection is established and then, the sco socket is releasing, timeout_work will be scheduled to judge whether the sco disconnection is timeout. The sock will be deallocated later, but it is dereferenced again in sco_sock_timeout. As a result, the use-after-free bugs will happen. The root cause is shown below: Cleanup Thread | Worker Thread sco_sock_release | sco_sock_close | __sco_sock_close | sco_sock_set_timer | schedule_delayed_work | sco_sock_kill | (wait a time) sock_put(sk) //FREE | sco_sock_timeout | sock_hold(sk) //USE The KASAN report triggered by POC is shown below: [ 95.890016] ================================================================== [ 95.890496] BUG: KASAN: slab-use-after-free in sco_sock_timeout+0x5e/0x1c0 [ 95.890755] Write of size 4 at addr ffff88800c388080 by task kworker/0:0/7 ... [ 95.890755] Workqueue: events sco_sock_timeout [ 95.890755] Call Trace: [ 95.890755] <TASK> [ 95.890755] dump_stack_lvl+0x45/0x110 [ 95.890755] print_address_description+0x78/0x390 [ 95.890755] print_report+0x11b/0x250 [ 95.890755] ? __virt_addr_valid+0xbe/0xf0 [ 95.890755] ? sco_sock_timeout+0x5e/0x1c0 [ 95.890755] kasan_report+0x139/0x170 [ 95.890755] ? update_load_avg+0xe5/0x9f0 [ 95.890755] ? sco_sock_timeout+0x5e/0x1c0 [ 95.890755] kasan_check_range+0x2c3/0x2e0 [ 95.890755] sco_sock_timeout+0x5e/0x1c0 [ 95.890755] process_one_work+0x561/0xc50 [ 95.890755] worker_thread+0xab2/0x13c0 [ 95.890755] ? pr_cont_work+0x490/0x490 [ 95.890755] kthread+0x279/0x300 [ 95.890755] ? pr_cont_work+0x490/0x490 [ 95.890755] ? kthread_blkcg+0xa0/0xa0 [ 95.890755] ret_from_fork+0x34/0x60 [ 95.890755] ? kthread_blkcg+0xa0/0xa0 [ 95.890755] ret_from_fork_asm+0x11/0x20 [ 95.890755] </TASK> [ 95.890755] [ 95.890755] Allocated by task 506: [ 95.890755] kasan_save_track+0x3f/0x70 [ 95.890755] __kasan_kmalloc+0x86/0x90 [ 95.890755] __kmalloc+0x17f/0x360 [ 95.890755] sk_prot_alloc+0xe1/0x1a0 [ 95.890755] sk_alloc+0x31/0x4e0 [ 95.890755] bt_sock_alloc+0x2b/0x2a0 [ 95.890755] sco_sock_create+0xad/0x320 [ 95.890755] bt_sock_create+0x145/0x320 [ 95.890755] __sock_create+0x2e1/0x650 [ 95.890755] __sys_socket+0xd0/0x280 [ 95.890755] __x64_sys_socket+0x75/0x80 [ 95.890755] do_syscall_64+0xc4/0x1b0 [ 95.890755] entry_SYSCALL_64_after_hwframe+0x67/0x6f [ 95.890755] [ 95.890755] Freed by task 506: [ 95.890755] kasan_save_track+0x3f/0x70 [ 95.890755] kasan_save_free_info+0x40/0x50 [ 95.890755] poison_slab_object+0x118/0x180 [ 95.890755] __kasan_slab_free+0x12/0x30 [ 95.890755] kfree+0xb2/0x240 [ 95.890755] __sk_destruct+0x317/0x410 [ 95.890755] sco_sock_release+0x232/0x280 [ 95.890755] sock_close+0xb2/0x210 [ 95.890755] __fput+0x37f/0x770 [ 95.890755] task_work_run+0x1ae/0x210 [ 95.890755] get_signal+0xe17/0xf70 [ 95.890755] arch_do_signal_or_restart+0x3f/0x520 [ 95.890755] syscall_exit_to_user_mode+0x55/0x120 [ 95.890755] do_syscall_64+0xd1/0x1b0 [ 95.890755] entry_SYSCALL_64_after_hwframe+0x67/0x6f [ 95.890755] [ 95.890755] The buggy address belongs to the object at ffff88800c388000 [ 95.890755] which belongs to the cache kmalloc-1k of size 1024 [ 95.890755] The buggy address is located 128 bytes inside of [ 95.890755] freed 1024-byte region [ffff88800c388000, ffff88800c388400) [ 95.890755] [ 95.890755] The buggy address belongs to the physical page: [ 95.890755] page: refcount:1 mapcount:0 mapping:0000000000000000 index:0xffff88800c38a800 pfn:0xc388 [ 95.890755] head: order:3 entire_mapcount:0 nr_pages_mapped:0 pincount:0 [ 95.890755] ano ---truncated--- Уязвимость компонента net/bluetooth/sco.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:A/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: l2cap: fix null-ptr-deref in l2cap_chan_timeout There is a race condition between l2cap_chan_timeout() and l2cap_chan_del(). When we use l2cap_chan_del() to delete the channel, the chan->conn will be set to null. But the conn could be dereferenced again in the mutex_lock() of l2cap_chan_timeout(). As a result the null pointer dereference bug will happen. The KASAN report triggered by POC is shown below: [ 472.074580] ================================================================== [ 472.075284] BUG: KASAN: null-ptr-deref in mutex_lock+0x68/0xc0 [ 472.075308] Write of size 8 at addr 0000000000000158 by task kworker/0:0/7 [ 472.075308] [ 472.075308] CPU: 0 PID: 7 Comm: kworker/0:0 Not tainted 6.9.0-rc5-00356-g78c0094a146b #36 [ 472.075308] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu4 [ 472.075308] Workqueue: events l2cap_chan_timeout [ 472.075308] Call Trace: [ 472.075308] <TASK> [ 472.075308] dump_stack_lvl+0x137/0x1a0 [ 472.075308] print_report+0x101/0x250 [ 472.075308] ? __virt_addr_valid+0x77/0x160 [ 472.075308] ? mutex_lock+0x68/0xc0 [ 472.075308] kasan_report+0x139/0x170 [ 472.075308] ? mutex_lock+0x68/0xc0 [ 472.075308] kasan_check_range+0x2c3/0x2e0 [ 472.075308] mutex_lock+0x68/0xc0 [ 472.075308] l2cap_chan_timeout+0x181/0x300 [ 472.075308] process_one_work+0x5d2/0xe00 [ 472.075308] worker_thread+0xe1d/0x1660 [ 472.075308] ? pr_cont_work+0x5e0/0x5e0 [ 472.075308] kthread+0x2b7/0x350 [ 472.075308] ? pr_cont_work+0x5e0/0x5e0 [ 472.075308] ? kthread_blkcg+0xd0/0xd0 [ 472.075308] ret_from_fork+0x4d/0x80 [ 472.075308] ? kthread_blkcg+0xd0/0xd0 [ 472.075308] ret_from_fork_asm+0x11/0x20 [ 472.075308] </TASK> [ 472.075308] ================================================================== [ 472.094860] Disabling lock debugging due to kernel taint [ 472.096136] BUG: kernel NULL pointer dereference, address: 0000000000000158 [ 472.096136] #PF: supervisor write access in kernel mode [ 472.096136] #PF: error_code(0x0002) - not-present page [ 472.096136] PGD 0 P4D 0 [ 472.096136] Oops: 0002 [#1] PREEMPT SMP KASAN NOPTI [ 472.096136] CPU: 0 PID: 7 Comm: kworker/0:0 Tainted: G B 6.9.0-rc5-00356-g78c0094a146b #36 [ 472.096136] Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu4 [ 472.096136] Workqueue: events l2cap_chan_timeout [ 472.096136] RIP: 0010:mutex_lock+0x88/0xc0 [ 472.096136] Code: be 08 00 00 00 e8 f8 23 1f fd 4c 89 f7 be 08 00 00 00 e8 eb 23 1f fd 42 80 3c 23 00 74 08 48 88 [ 472.096136] RSP: 0018:ffff88800744fc78 EFLAGS: 00000246 [ 472.096136] RAX: 0000000000000000 RBX: 1ffff11000e89f8f RCX: ffffffff8457c865 [ 472.096136] RDX: 0000000000000001 RSI: 0000000000000008 RDI: ffff88800744fc78 [ 472.096136] RBP: 0000000000000158 R08: ffff88800744fc7f R09: 1ffff11000e89f8f [ 472.096136] R10: dffffc0000000000 R11: ffffed1000e89f90 R12: dffffc0000000000 [ 472.096136] R13: 0000000000000158 R14: ffff88800744fc78 R15: ffff888007405a00 [ 472.096136] FS: 0000000000000000(0000) GS:ffff88806d200000(0000) knlGS:0000000000000000 [ 472.096136] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 472.096136] CR2: 0000000000000158 CR3: 000000000da32000 CR4: 00000000000006f0 [ 472.096136] Call Trace: [ 472.096136] <TASK> [ 472.096136] ? __die_body+0x8d/0xe0 [ 472.096136] ? page_fault_oops+0x6b8/0x9a0 [ 472.096136] ? kernelmode_fixup_or_oops+0x20c/0x2a0 [ 472.096136] ? do_user_addr_fault+0x1027/0x1340 [ 472.096136] ? _printk+0x7a/0xa0 [ 472.096136] ? mutex_lock+0x68/0xc0 [ 472.096136] ? add_taint+0x42/0xd0 [ 472.096136] ? exc_page_fault+0x6a/0x1b0 [ 472.096136] ? asm_exc_page_fault+0x26/0x30 [ 472.096136] ? mutex_lock+0x75/0xc0 [ 472.096136] ? mutex_lock+0x88/0xc0 [ 472.096136] ? mutex_lock+0x75/0xc0 [ 472.096136] l2cap_chan_timeo ---truncated--- Уязвимость компонента net/bluetooth/l2cap_core.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: once more fix the call oder in amdgpu_ttm_move() v2 This reverts drm/amdgpu: fix ftrace event amdgpu_bo_move always move on same heap. The basic problem here is that after the move the old location is simply not available any more. Some fixes were suggested, but essentially we should call the move notification before actually moving things because only this way we have the correct order for DMA-buf and VM move notifications as well. Also rework the statistic handling so that we don't update the eviction counter before the move. v2: add missing NULL check Уязвимость функции amdgpu_bo_move() в модуле drivers/gpu/drm/amd/amdgpu/amdgpu_ttm.c драйвера amdgpu ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firewire: nosy: ensure user_length is taken into account when fetching packet contents Ensure that packet_buffer_get respects the user_length provided. If the length of the head packet exceeds the user_length, packet_buffer_get will now return 0 to signify to the user that no data were read and a larger buffer size is required. Helps prevent user space overflows. Уязвимость компонента drivers/firewire/nosy.c ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Fixed overflow check in mi_enum_attr() Уязвимость функции mi_enum_attr() компонента fs/ntfs3 ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 webkit2gtk The issue was addressed by adding additional logic. This issue is fixed in Safari 17.5, iOS 16.7.8 and iPadOS 16.7.8, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. A maliciously crafted webpage may be able to fingerprint the user. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с раскрытием информации через несоответствие. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных с помощью специально созданной веб-страницы [NistCWE(cwe='CWE-79')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved bounds checks. This issue is fixed in Safari 17.5, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. Processing maliciously crafted web content may lead to arbitrary code execution. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-119'), NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved checks. This issue is fixed in Safari 17.5, iOS 16.7.8 and iPadOS 16.7.8, iOS 17.5 and iPadOS 17.5, macOS Sonoma 14.5, tvOS 17.5, visionOS 1.2, watchOS 10.5. Processing a file may lead to unexpected app termination or arbitrary code execution. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с неверным управлением генерацией кода. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-94'), NistCWE(cwe='CWE-94')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=7.8) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 python-jwcrypto JWCrypto implements JWK, JWS, and JWE specifications using python-cryptography. Prior to version 1.5.6, an attacker can cause a denial of service attack by passing in a malicious JWE Token with a high compression ratio. When the server processes this token, it will consume a lot of memory and processing time. Version 1.5.6 fixes this vulnerability by limiting the maximum token length. Уязвимость функции deserialize() JavaScript-библиотеки для криптографии Jwcrypto связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании путем передачи специально созданного токена JWE [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:N/AC:L/PR:H/UI:N/S:C/C:N/I:N/A:H', score=6.8) - Использовать ПО python-jwcrypto только на низком или отдельно выделенном уровне целостности - При использовании ПО python-jwcrypto выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-jwcrypto только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 gnutls28 A flaw was found in GnuTLS. The Minerva attack is a cryptographic vulnerability that exploits deterministic behavior in systems like GnuTLS, leading to side-channel leaks. In specific scenarios, such as when using the GNUTLS_PRIVKEY_FLAG_REPRODUCIBLE flag, it can result in a noticeable step in nonce size from 513 to 512 bits, exposing a potential timing side-channel. Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с использованием криптографических алгоритмов, содержащих дефекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-327')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.3) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 gnutls28 A flaw has been discovered in GnuTLS where an application crash can be induced when attempting to verify a specially crafted .pem bundle using the "certtool --verify-chain" command. Уязвимость функции gnutls_x509_trust_list_verify_crt2() библиотеки безопасности транспортного уровня GnuTLS связана с недостатками в обработке исключительных состояний при анализе параметра cert_list_size. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании путем передачи специально созданной цепочки сертификатов в кодировке PEM в certtool [NistCWE(cwe='CWE-248')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:R/S:U/C:N/I:N/A:H', score=5.0) gnutls28: - Включить защиту файловой системы ("установить МКЦ на ФС") - Запретить установку бита исполнения для каталогов с сертификатами и ключами, включая права администраторов. - Активировать режим замкнутой программной среды. - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. - Для непривилегированных пользователей активировать режим Киоск-2. - Ограничить редактирование файлов /etc/gnutls/ и переменных окружения GNUTLS_PRIORITY исключительно группой root. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a stack buffer overflow in H5FL_arr_malloc, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5FL_arr_malloc() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a heap buffer overflow in H5A__attr_release_table, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5A__attr_release_table() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 through 1.14.3 contains a buffer overflow in H5O__linfo_decode, resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5O__linfo_decode() библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. Undici cleared Authorization and Proxy-Authorization headers for `fetch()`, but did not clear them for `undici.request()`. This vulnerability was patched in version(s) 5.28.4 and 6.11.1. Уязвимость веб-клиента Undici связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-285'), NistCWE(cwe='CWE-863')] None NistCVSS3(cvss='AV:N/AC:H/PR:H/UI:R/S:U/C:L/I:L/A:L', score=3.9) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 node-undici Undici is an HTTP/1.1 client, written from scratch for Node.js. An attacker can alter the `integrity` option passed to `fetch()`, allowing `fetch()` to accept requests as valid even if they have been tampered. This vulnerability was patched in version(s) 5.28.4 and 6.11.1. Уязвимость веб-клиента Undici связана с недостатками контроля доступа. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [NistCWE(cwe='CWE-284')] None NistCVSS3(cvss='AV:N/AC:H/PR:L/UI:R/S:U/C:N/I:L/A:N', score=2.6) node-undici: - Включить защиту файловой системы ("установить МКЦ на ФС") - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности - Активировать регламентный контроль целостности ОС - Активировать режим замкнутой программной среды - По возможности запускать прикладное ПО в отдельной сессии Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: genirq/cpuhotplug, x86/vector: Prevent vector leak during CPU offline The absence of IRQD_MOVE_PCNTXT prevents immediate effectiveness of interrupt affinity reconfiguration via procfs. Instead, the change is deferred until the next instance of the interrupt being triggered on the original CPU. When the interrupt next triggers on the original CPU, the new affinity is enforced within __irq_move_irq(). A vector is allocated from the new CPU, but the old vector on the original CPU remains and is not immediately reclaimed. Instead, apicd->move_in_progress is flagged, and the reclaiming process is delayed until the next trigger of the interrupt on the new CPU. Upon the subsequent triggering of the interrupt on the new CPU, irq_complete_move() adds a task to the old CPU's vector_cleanup list if it remains online. Subsequently, the timer on the old CPU iterates over its vector_cleanup list, reclaiming old vectors. However, a rare scenario arises if the old CPU is outgoing before the interrupt triggers again on the new CPU. In that case irq_force_complete_move() is not invoked on the outgoing CPU to reclaim the old apicd->prev_vector because the interrupt isn't currently affine to the outgoing CPU, and irq_needs_fixup() returns false. Even though __vector_schedule_cleanup() is later called on the new CPU, it doesn't reclaim apicd->prev_vector; instead, it simply resets both apicd->move_in_progress and apicd->prev_vector to 0. As a result, the vector remains unreclaimed in vector_matrix, leading to a CPU vector leak. To address this issue, move the invocation of irq_force_complete_move() before the irq_needs_fixup() call to reclaim apicd->prev_vector, if the interrupt is currently or used to be affine to the outgoing CPU. Additionally, reclaim the vector in __vector_schedule_cleanup() as well, following a warning message, although theoretically it should never see apicd->move_in_progress with apicd->prev_cpu pointing to an offline CPU. Уязвимость компонентов arch/x86/kernel/apic/vector.c, kernel/irq/cpuhotplug.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 git Git is a revision control system. Prior to versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4, local clones may end up hardlinking files into the target repository's object database when source and target repository reside on the same disk. If the source repository is owned by a different user, then those hardlinked files may be rewritten at any point in time by the untrusted user. Cloning local repositories will cause Git to either copy or hardlink files of the source repository into the target repository. This significantly speeds up such local clones compared to doing a "proper" clone and saves both disk space and compute time. When cloning a repository located on the same disk that is owned by a different user than the current user we also end up creating such hardlinks. These files will continue to be owned and controlled by the potentially-untrusted user and can be rewritten by them at will in the future. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. Уязвимость распределенной системы контроля версий Git связана с доступом к базе данных объектов целевого репозитория другого пользователя. Эксплуатация уязвимости может позволить нарушителю создавать жесткие ссылки на произвольные файлы, доступные для чтения, в той же файловой системе [NistCWE(cwe='CWE-281')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:L', score=3.9) jgit: - Удалить ПО jgit, если оно не используется и не является зависимостью других пакетов - При использовании ПО jgit выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды git: - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) git-lfs: - Удалить ПО git-lfs, если оно не используется - Обеспечить возможность запуска ПО git-lfs только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) golang-github-containers-buildah: - Обеспечить возможность использования библиотеки golang-github-containers-buildah только доверенными пользователями ОС - Включить режим замкнутой программной среды - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить мандатный контроль целостности (МКЦ) golang-github-dvsekhvalnov-jose2go: - Удалить библиотеку golang-github-dvsekhvalnov-jose2go, если она не используется и не является зависимостью других пакетов - Запускать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 git Git is a revision control system. Prior to versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4, when cloning a local source repository that contains symlinks via the filesystem, Git may create hardlinks to arbitrary user-readable files on the same filesystem as the target repository in the `objects/` directory. Cloning a local repository over the filesystem may creating hardlinks to arbitrary user-owned files on the same filesystem in the target Git repository's `objects/` directory. When cloning a repository over the filesystem (without explicitly specifying the `file://` protocol or `--no-local`), the optimizations for local cloning will be used, which include attempting to hard link the object files instead of copying them. While the code includes checks against symbolic links in the source repository, which were added during the fix for CVE-2022-39253, these checks can still be raced because the hard link operation ultimately follows symlinks. If the object on the filesystem appears as a file during the check, and then a symlink during the operation, this will allow the adversary to bypass the check and create hardlinks in the destination objects directory to arbitrary, user-readable files. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. Уязвимость распределенной системы контроля версий Git связана с использованием предустановленных данных, связанных с безопасностью. Эксплуатация уязвимости может позволить нарушителю создавать жесткие ссылки на произвольные файлы, доступные для чтения, в той же файловой системе [NistCWE(cwe='CWE-547')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:R/S:C/C:N/I:L/A:L', score=3.9) - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) - Используйте флаг --no-local для отключения жёстких ссылок при клонировании репоитория. Пример: `git clone --no-local` - В случае если использование флага `--no-local` невозможно, то при клонировании репозитория указывайте протокол file://: это отключает оптимизацию жёстких ссылок. Пример: `git clone file:///path/to/source/repo` - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды Astra Linux 1.8 git Git is a revision control system. The Git project recommends to avoid working in untrusted repositories, and instead to clone it first with `git clone --no-local` to obtain a clean copy. Git has specific protections to make that a safe operation even with an untrusted source repository, but vulnerabilities allow those protections to be bypassed. In the context of cloning local repositories owned by other users, this vulnerability has been covered in CVE-2024-32004. But there are circumstances where the fixes for CVE-2024-32004 are not enough: For example, when obtaining a `.zip` file containing a full copy of a Git repository, it should not be trusted by default to be safe, as e.g. hooks could be configured to run within the context of that repository. The problem has been patched in versions 2.45.1, 2.44.1, 2.43.4, 2.42.2, 2.41.1, 2.40.2, and 2.39.4. As a workaround, avoid using Git in repositories that have been obtained via archives from untrusted sources. Уязвимость распределенной системы контроля версий Git связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю обойти защиту при клонировании ненадежных репозиториев [NistCWE(cwe='CWE-22')] None NistCVSS3(cvss='AV:P/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H', score=7.3) jgit: - Удалить ПО jgit, если оно не используется и не является зависимостью других пакетов - При использовании ПО jgit выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды git: - Удалить ПО git, если оно не используется - Обеспечить возможность запуска ПО git только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) git-lfs: - Удалить ПО git-lfs, если оно не используется - Обеспечить возможность запуска ПО git-lfs только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Включить режим замкнутой программной среды - Избегать клонирования репозиториев из ненадежных источников - Избегать использования недоверенных источников (git-серверов) golang-github-containers-buildah: - Обеспечить возможность использования библиотеки golang-github-containers-buildah только доверенными пользователями ОС - Включить режим замкнутой программной среды - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить мандатный контроль целостности (МКЦ) golang-github-dvsekhvalnov-jose2go: - Удалить библиотеку golang-github-dvsekhvalnov-jose2go, если она не используется и не является зависимостью других пакетов - Запускать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, в изолированной программной среде с применением инструмента Firejail - Использовать ПО, использующее библиотеку golang-github-dvsekhvalnov-jose2go, только на низком или отдельно выделенном уровне целостности - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Включить режим замкнутой программной среды Astra Linux 1.8 hdf5 HDF5 library through 1.14.3 has memory corruption in H5A__close resulting in the corruption of the instruction pointer and causing denial of service or potential code execution. Уязвимость функции H5A__close() библиотеки HDF5 связана с переполнением буфера в куче, что приводит к повреждению указателя инструкций. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании [NistCWE(cwe='CWE-787'), NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a SEGV in H5T_close_real in H5T.c, resulting in a corrupted instruction pointer. Уязвимость функции H5T_close_real() в файле H5T.c библиотеки HDF5 связана с выходом операции за границы буфера в памяти, что приводит к повреждению указателя инструкций. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a SEGV in H5VM_memcpyvv in H5VM.c. Уязвимость функции H5VM_memcpyvv() в файле H5VM.c библиотеки HDF5 связана с чтением за пределами границ памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 contains a heap-based buffer overflow in H5T_copy_reopen in H5T.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5T_copy_reopen() в файле H5T.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 contains a heap-based buffer over-read in H5F_addr_decode_len in H5Fint.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5F_addr_decode_len() в файле H5Fint.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H', score=7.4) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: efi: libstub: only free priv.runtime_map when allocated priv.runtime_map is only allocated when efi_novamap is not set. Otherwise, it is an uninitialized value. In the error path, it is freed unconditionally. Avoid passing an uninitialized value to free_pool. Free priv.runtime_map only when it was allocated. This bug was discovered and resolved using Coverity Static Analysis Security Testing (SAST) by Synopsys, Inc. Уязвимость компонента libstub ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipvlan: Dont Use skb->sk in ipvlan_process_v{4,6}_outbound Raw packet from PF_PACKET socket ontop of an IPv6-backed ipvlan device will hit WARN_ON_ONCE() in sk_mc_loop() through sch_direct_xmit() path. WARNING: CPU: 2 PID: 0 at net/core/sock.c:775 sk_mc_loop+0x2d/0x70 Modules linked in: sch_netem ipvlan rfkill cirrus drm_shmem_helper sg drm_kms_helper CPU: 2 PID: 0 Comm: swapper/2 Kdump: loaded Not tainted 6.9.0+ #279 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 RIP: 0010:sk_mc_loop+0x2d/0x70 Code: fa 0f 1f 44 00 00 65 0f b7 15 f7 96 a3 4f 31 c0 66 85 d2 75 26 48 85 ff 74 1c RSP: 0018:ffffa9584015cd78 EFLAGS: 00010212 RAX: 0000000000000011 RBX: ffff91e585793e00 RCX: 0000000002c6a001 RDX: 0000000000000000 RSI: 0000000000000040 RDI: ffff91e589c0f000 RBP: ffff91e5855bd100 R08: 0000000000000000 R09: 3d00545216f43d00 R10: ffff91e584fdcc50 R11: 00000060dd8616f4 R12: ffff91e58132d000 R13: ffff91e584fdcc68 R14: ffff91e5869ce800 R15: ffff91e589c0f000 FS: 0000000000000000(0000) GS:ffff91e898100000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f788f7c44c0 CR3: 0000000008e1a000 CR4: 00000000000006f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <IRQ> ? __warn (kernel/panic.c:693) ? sk_mc_loop (net/core/sock.c:760) ? report_bug (lib/bug.c:201 lib/bug.c:219) ? handle_bug (arch/x86/kernel/traps.c:239) ? exc_invalid_op (arch/x86/kernel/traps.c:260 (discriminator 1)) ? asm_exc_invalid_op (./arch/x86/include/asm/idtentry.h:621) ? sk_mc_loop (net/core/sock.c:760) ip6_finish_output2 (net/ipv6/ip6_output.c:83 (discriminator 1)) ? nf_hook_slow (net/netfilter/core.c:626) ip6_finish_output (net/ipv6/ip6_output.c:222) ? __pfx_ip6_finish_output (net/ipv6/ip6_output.c:215) ipvlan_xmit_mode_l3 (drivers/net/ipvlan/ipvlan_core.c:602) ipvlan ipvlan_start_xmit (drivers/net/ipvlan/ipvlan_main.c:226) ipvlan dev_hard_start_xmit (net/core/dev.c:3594) sch_direct_xmit (net/sched/sch_generic.c:343) __qdisc_run (net/sched/sch_generic.c:416) net_tx_action (net/core/dev.c:5286) handle_softirqs (kernel/softirq.c:555) __irq_exit_rcu (kernel/softirq.c:589) sysvec_apic_timer_interrupt (arch/x86/kernel/apic/apic.c:1043) The warning triggers as this: packet_sendmsg packet_snd //skb->sk is packet sk __dev_queue_xmit __dev_xmit_skb //q->enqueue is not NULL __qdisc_run sch_direct_xmit dev_hard_start_xmit ipvlan_start_xmit ipvlan_xmit_mode_l3 //l3 mode ipvlan_process_outbound //vepa flag ipvlan_process_v6_outbound ip6_local_out __ip6_finish_output ip6_finish_output2 //multicast packet sk_mc_loop //sk->sk_family is AF_PACKET Call ip{6}_local_out() with NULL sk in ipvlan as other tunnels to fix this. Уязвимость компонента ipvlan ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: compress: don't allow unaligned truncation on released compress inode f2fs image may be corrupted after below testcase: - mkfs.f2fs -O extra_attr,compression -f /dev/vdb - mount /dev/vdb /mnt/f2fs - touch /mnt/f2fs/file - f2fs_io setflags compression /mnt/f2fs/file - dd if=/dev/zero of=/mnt/f2fs/file bs=4k count=4 - f2fs_io release_cblocks /mnt/f2fs/file - truncate -s 8192 /mnt/f2fs/file - umount /mnt/f2fs - fsck.f2fs /dev/vdb [ASSERT] (fsck_chk_inode_blk:1256) --> ino: 0x5 has i_blocks: 0x00000002, but has 0x3 blocks [FSCK] valid_block_count matching with CP [Fail] [0x4, 0x5] [FSCK] other corrupted bugs [Fail] The reason is: partial truncation assume compressed inode has reserved blocks, after partial truncation, valid block count may change w/o .i_blocks and .total_valid_block_count update, result in corruption. This patch only allow cluster size aligned truncation on released compress inode for fixing. Уязвимость компонента f2fs ядра операционной системы Linux связана с неправильной реализацией последовательности выполняемых действий. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer overflow in H5D__scatter_mem in H5Dscatgath.c. Уязвимость функции H5D__scatter_mem() в файле H5Dscatgath.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-122')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap buffer overflow in H5O__mtime_new_encode in H5Omtime.c. Уязвимость функции H5O__mtime_new_encode() в файле H5Omtime.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) Для нейтрализации угрозы эксплуатации уязвимостей необходимо соблюдать следующие требования: 1. Отказаться от использования библиотеки hdf5. 2. При использовании ПО, использующего библиотеку hdf5, выполнять обработку только файлов, полученных из доверенных источников. 3. Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail. 4. Включить режим замкнутой программной среды. 5. Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС. 6. Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2. 7. Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности. Astra Linux 1.8 hdf5 HDF5 Library through 1.14.3 has a heap-based buffer overflow in H5O__layout_encode in H5Olayout.c, resulting in the corruption of the instruction pointer. Уязвимость функции H5O__layout_encode() в файле H5Olayout.c библиотеки HDF5 связана с переполнением буфера в куче. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:N/UI:N/S:U/C:N/I:L/A:H', score=5.7) hdf5: - Отказаться от использования библиотеки hdf5 - При использовании ПО, использующего библиотеку hdf5, выполнять обработку файлов, полученных только из доверенных источников - Запускать ПО, использующее библиотеку hdf5, в изолированной программной среде с применением инструмента Firejail - Включить режим замкнутой программной среды - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Запретить установку бита исполнения для всех пользователей, включая администраторов - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash, а также активировать режим Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: compress: fix to cover {reserve,release}_compress_blocks() w/ cp_rwsem lock It needs to cover {reserve,release}_compress_blocks() w/ cp_rwsem lock to avoid racing with checkpoint, otherwise, filesystem metadata including blkaddr in dnode, inode fields and .total_valid_block_count may be corrupted after SPO case. Уязвимость функций reserve_compress_blocks/release_compress_blocks компонента fs/f2fs/file.c ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: region: add owner module and take its refcount The current implementation of the fpga region assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the region during programming if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_region struct and use it to take the module's refcount. Modify the functions for registering a region to take an additional owner module parameter and rename them to avoid conflicts. Use the old function names for helper macros that automatically set the module that registers the region as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a region without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga region. Уязвимость компонентов fpga-region.rst, fpga-region.c, fpga-region.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has an Out-of-bounds Read via libavcodec/ppc/vp8dsp_altivec.c, static const vec_s8 h_subpel_filters_outer Уязвимость компонента libavcodec/ppc/vp8dsp_altivec.c мультимедийной библиотеки FFmpeg связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=9.1) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n7.0 is affected by a Double Free via the rkmpp_retrieve_frame function within libavcodec/rkmppdec.c. Уязвимость функции rkmpp_retrieve_frame компонента libavcodec/rkmppdec.c мультимедийной библиотеки FFmpeg связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eeprom: at24: fix memory corruption race condition If the eeprom is not accessible, an nvmem device will be registered, the read will fail, and the device will be torn down. If another driver accesses the nvmem device after the teardown, it will reference invalid memory. Move the failure point before registering the nvmem device. Уязвимость компонента drivers/misc/eeprom/at24.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix UAF in smb2_reconnect_server() The UAF bug is due to smb2_reconnect_server() accessing a session that is already being teared down by another thread that is executing __cifs_put_smb_ses(). This can happen when (a) the client has connection to the server but no session or (b) another thread ends up setting @ses->ses_status again to something different than SES_EXITING. To fix this, we need to make sure to unconditionally set @ses->ses_status to SES_EXITING and prevent any other threads from setting a new status while we're still tearing it down. The following can be reproduced by adding some delay to right after the ipc is freed in __cifs_put_smb_ses() - which will give smb2_reconnect_server() worker a chance to run and then accessing @ses->ipc: kinit ... mount.cifs //srv/share /mnt/1 -o sec=krb5,nohandlecache,echo_interval=10 [disconnect srv] ls /mnt/1 &>/dev/null sleep 30 kdestroy [reconnect srv] sleep 10 umount /mnt/1 ... CIFS: VFS: Verify user has a krb5 ticket and keyutils is installed CIFS: VFS: \\srv Send error in SessSetup = -126 CIFS: VFS: Verify user has a krb5 ticket and keyutils is installed CIFS: VFS: \\srv Send error in SessSetup = -126 general protection fault, probably for non-canonical address 0x6b6b6b6b6b6b6b6b: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 50 Comm: kworker/3:1 Not tainted 6.9.0-rc2 #1 Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS 1.16.3-1.fc39 04/01/2014 Workqueue: cifsiod smb2_reconnect_server [cifs] RIP: 0010:__list_del_entry_valid_or_report+0x33/0xf0 Code: 4f 08 48 85 d2 74 42 48 85 c9 74 59 48 b8 00 01 00 00 00 00 ad de 48 39 c2 74 61 48 b8 22 01 00 00 00 00 74 69 <48> 8b 01 48 39 f8 75 7b 48 8b 72 08 48 39 c6 0f 85 88 00 00 00 b8 RSP: 0018:ffffc900001bfd70 EFLAGS: 00010a83 RAX: dead000000000122 RBX: ffff88810da53838 RCX: 6b6b6b6b6b6b6b6b RDX: 6b6b6b6b6b6b6b6b RSI: ffffffffc02f6878 RDI: ffff88810da53800 RBP: ffff88810da53800 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000001 R12: ffff88810c064000 R13: 0000000000000001 R14: ffff88810c064000 R15: ffff8881039cc000 FS: 0000000000000000(0000) GS:ffff888157c00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007fe3728b1000 CR3: 000000010caa4000 CR4: 0000000000750ef0 PKRU: 55555554 Call Trace: <TASK> ? die_addr+0x36/0x90 ? exc_general_protection+0x1c1/0x3f0 ? asm_exc_general_protection+0x26/0x30 ? __list_del_entry_valid_or_report+0x33/0xf0 __cifs_put_smb_ses+0x1ae/0x500 [cifs] smb2_reconnect_server+0x4ed/0x710 [cifs] process_one_work+0x205/0x6b0 worker_thread+0x191/0x360 ? __pfx_worker_thread+0x10/0x10 kthread+0xe2/0x110 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x34/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 </TASK> Уязвимость функции smb2_reconnect_server() в модуле fs/smb/client/smb2pdu.c реализации клиента протокола SMB ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: check A-MSDU format more carefully If it looks like there's another subframe in the A-MSDU but the header isn't fully there, we can end up reading data out of bounds, only to discard later. Make this a bit more careful and check if the subframe header can even be present. Уязвимость компонента wifi ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pmdomain: ti: Add a null pointer check to the omap_prm_domain_init devm_kasprintf() returns a pointer to dynamically allocated memory which can be NULL upon failure. Ensure the allocation was successful by checking the pointer validity. Уязвимость компонента omap_prm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dyndbg: fix old BUG_ON in >control parser Fix a BUG_ON from 2009. Even if it looks "unreachable" (I didn't really look), lets make sure by removing it, doing pr_err and return -EINVAL instead. Уязвимость компонента dyndbg ядра операционной системы Linux связана с неправильной обработкой ошибок в функции ddebug_tokenize(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: qgroup: fix qgroup prealloc rsv leak in subvolume operations Create subvolume, create snapshot and delete subvolume all use btrfs_subvolume_reserve_metadata() to reserve metadata for the changes done to the parent subvolume's fs tree, which cannot be mediated in the normal way via start_transaction. When quota groups (squota or qgroups) are enabled, this reserves qgroup metadata of type PREALLOC. Once the operation is associated to a transaction, we convert PREALLOC to PERTRANS, which gets cleared in bulk at the end of the transaction. However, the error paths of these three operations were not implementing this lifecycle correctly. They unconditionally converted the PREALLOC to PERTRANS in a generic cleanup step regardless of errors or whether the operation was fully associated to a transaction or not. This resulted in error paths occasionally converting this rsv to PERTRANS without calling record_root_in_trans successfully, which meant that unless that root got recorded in the transaction by some other thread, the end of the transaction would not free that root's PERTRANS, leaking it. Ultimately, this resulted in hitting a WARN in CONFIG_BTRFS_DEBUG builds at unmount for the leaked reservation. The fix is to ensure that every qgroup PREALLOC reservation observes the following properties: 1. any failure before record_root_in_trans is called successfully results in freeing the PREALLOC reservation. 2. after record_root_in_trans, we convert to PERTRANS, and now the transaction owns freeing the reservation. This patch enforces those properties on the three operations. Without it, generic/269 with squotas enabled at mkfs time would fail in ~5-10 runs on my system. With this patch, it ran successfully 1000 times in a row. Уязвимость компонентов inode.c, ioctl.c, root-tree.c, root-tree.h ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: hci_sock: Fix not validating setsockopt user input Check user input length before copying data. Уязвимость компонента hci_sock.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: ISO: Fix not validating setsockopt user input Check user input length before copying data. Уязвимость компонента iso.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: RFCOMM: Fix not validating setsockopt user input syzbot reported rfcomm_sock_setsockopt_old() is copying data without checking user input length. BUG: KASAN: slab-out-of-bounds in copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr include/linux/sockptr.h:55 [inline] BUG: KASAN: slab-out-of-bounds in rfcomm_sock_setsockopt_old net/bluetooth/rfcomm/sock.c:632 [inline] BUG: KASAN: slab-out-of-bounds in rfcomm_sock_setsockopt+0x893/0xa70 net/bluetooth/rfcomm/sock.c:673 Read of size 4 at addr ffff8880209a8bc3 by task syz-executor632/5064 Уязвимость компонента sock.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb3: missing lock when picking channel Coverity spotted a place where we should have been holding the channel lock when accessing the ses channel index. Addresses-Coverity: 1582039 ("Data race condition (MISSING_LOCK)") Уязвимость компонента transport.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix missing hugetlb_lock for resv uncharge There is a recent report on UFFDIO_COPY over hugetlb: https://lore.kernel.org/all/000000000000ee06de0616177560@google.com/ 350: lockdep_assert_held(&hugetlb_lock); Should be an issue in hugetlb but triggered in an userfault context, where it goes into the unlikely path where two threads modifying the resv map together. Mike has a fix in that path for resv uncharge but it looks like the locking criteria was overlooked: hugetlb_cgroup_uncharge_folio_rsvd() will update the cgroup pointer, so it requires to be called with the lock held. Уязвимость компонента hugetlb.c ядра операционной системы Linux связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: msft: fix slab-use-after-free in msft_do_close() Tying the msft->data lifetime to hdev by freeing it in hci_release_dev() to fix the following case: [use] msft_do_close() msft = hdev->msft_data; if (!msft) ...(1) <- passed. return; mutex_lock(&msft->filter_lock); ...(4) <- used after freed. [free] msft_unregister() msft = hdev->msft_data; hdev->msft_data = NULL; ...(2) kfree(msft); ...(3) <- msft is freed. ================================================================== BUG: KASAN: slab-use-after-free in __mutex_lock_common kernel/locking/mutex.c:587 [inline] BUG: KASAN: slab-use-after-free in __mutex_lock+0x8f/0xc30 kernel/locking/mutex.c:752 Read of size 8 at addr ffff888106cbbca8 by task kworker/u5:2/309 Уязвимость функции msft_do_close() в модуле net/bluetooth/msft.c реализации протокола Bluetooth ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/arm/malidp: fix a possible null pointer dereference In malidp_mw_connector_reset, new memory is allocated with kzalloc, but no check is performed. In order to prevent null pointer dereferencing, ensure that mw_state is checked before calling __drm_atomic_helper_connector_reset. Уязвимость функции malidp_mw_connector_reset() в модуле drivers/gpu/drm/arm/malidp_mw.c драйвера ARM Mali Display Processor ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ppdev: Add an error check in register_device In register_device, the return value of ida_simple_get is unchecked, in witch ida_simple_get will use an invalid index value. To address this issue, index should be checked after ida_simple_get. When the index value is abnormal, a warning message should be printed, the port should be dropped, and the value should be recorded. Уязвимость функции register_device() в модуле drivers/char/ppdev.c драйвера символьных устройств ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rtnetlink: Correct nested IFLA_VF_VLAN_LIST attribute validation Each attribute inside a nested IFLA_VF_VLAN_LIST is assumed to be a struct ifla_vf_vlan_info so the size of such attribute needs to be at least of sizeof(struct ifla_vf_vlan_info) which is 14 bytes. The current size validation in do_setvfinfo is against NLA_HDRLEN (4 bytes) which is less than sizeof(struct ifla_vf_vlan_info) so this validation is not enough and a too small attribute might be cast to a struct ifla_vf_vlan_info, this might result in an out of bands read access when accessing the saved (casted) entry in ivvl. Уязвимость функции do_setvfinfo() в модуле net/core/rtnetlink.c реализации стека протоколов TCP/IP ядра операционной системы Linux связана с чтением памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/hugetlb: fix DEBUG_LOCKS_WARN_ON(1) when dissolve_free_hugetlb_folio() When I did memory failure tests recently, below warning occurs: DEBUG_LOCKS_WARN_ON(1) WARNING: CPU: 8 PID: 1011 at kernel/locking/lockdep.c:232 __lock_acquire+0xccb/0x1ca0 Modules linked in: mce_inject hwpoison_inject CPU: 8 PID: 1011 Comm: bash Kdump: loaded Not tainted 6.9.0-rc3-next-20240410-00012-gdb69f219f4be #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 RIP: 0010:__lock_acquire+0xccb/0x1ca0 RSP: 0018:ffffa7a1c7fe3bd0 EFLAGS: 00000082 RAX: 0000000000000000 RBX: eb851eb853975fcf RCX: ffffa1ce5fc1c9c8 RDX: 00000000ffffffd8 RSI: 0000000000000027 RDI: ffffa1ce5fc1c9c0 RBP: ffffa1c6865d3280 R08: ffffffffb0f570a8 R09: 0000000000009ffb R10: 0000000000000286 R11: ffffffffb0f2ad50 R12: ffffa1c6865d3d10 R13: ffffa1c6865d3c70 R14: 0000000000000000 R15: 0000000000000004 FS: 00007ff9f32aa740(0000) GS:ffffa1ce5fc00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ff9f3134ba0 CR3: 00000008484e4000 CR4: 00000000000006f0 Call Trace: <TASK> lock_acquire+0xbe/0x2d0 _raw_spin_lock_irqsave+0x3a/0x60 hugepage_subpool_put_pages.part.0+0xe/0xc0 free_huge_folio+0x253/0x3f0 dissolve_free_huge_page+0x147/0x210 __page_handle_poison+0x9/0x70 memory_failure+0x4e6/0x8c0 hard_offline_page_store+0x55/0xa0 kernfs_fop_write_iter+0x12c/0x1d0 vfs_write+0x380/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xbc/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff9f3114887 RSP: 002b:00007ffecbacb458 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000000000000000c RCX: 00007ff9f3114887 RDX: 000000000000000c RSI: 0000564494164e10 RDI: 0000000000000001 RBP: 0000564494164e10 R08: 00007ff9f31d1460 R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 000000000000000c R13: 00007ff9f321b780 R14: 00007ff9f3217600 R15: 00007ff9f3216a00 </TASK> Kernel panic - not syncing: kernel: panic_on_warn set ... CPU: 8 PID: 1011 Comm: bash Kdump: loaded Not tainted 6.9.0-rc3-next-20240410-00012-gdb69f219f4be #3 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.14.0-0-g155821a1990b-prebuilt.qemu.org 04/01/2014 Call Trace: <TASK> panic+0x326/0x350 check_panic_on_warn+0x4f/0x50 __warn+0x98/0x190 report_bug+0x18e/0x1a0 handle_bug+0x3d/0x70 exc_invalid_op+0x18/0x70 asm_exc_invalid_op+0x1a/0x20 RIP: 0010:__lock_acquire+0xccb/0x1ca0 RSP: 0018:ffffa7a1c7fe3bd0 EFLAGS: 00000082 RAX: 0000000000000000 RBX: eb851eb853975fcf RCX: ffffa1ce5fc1c9c8 RDX: 00000000ffffffd8 RSI: 0000000000000027 RDI: ffffa1ce5fc1c9c0 RBP: ffffa1c6865d3280 R08: ffffffffb0f570a8 R09: 0000000000009ffb R10: 0000000000000286 R11: ffffffffb0f2ad50 R12: ffffa1c6865d3d10 R13: ffffa1c6865d3c70 R14: 0000000000000000 R15: 0000000000000004 lock_acquire+0xbe/0x2d0 _raw_spin_lock_irqsave+0x3a/0x60 hugepage_subpool_put_pages.part.0+0xe/0xc0 free_huge_folio+0x253/0x3f0 dissolve_free_huge_page+0x147/0x210 __page_handle_poison+0x9/0x70 memory_failure+0x4e6/0x8c0 hard_offline_page_store+0x55/0xa0 kernfs_fop_write_iter+0x12c/0x1d0 vfs_write+0x380/0x540 ksys_write+0x64/0xe0 do_syscall_64+0xbc/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff9f3114887 RSP: 002b:00007ffecbacb458 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000000000000000c RCX: 00007ff9f3114887 RDX: 000000000000000c RSI: 0000564494164e10 RDI: 0000000000000001 RBP: 0000564494164e10 R08: 00007ff9f31d1460 R09: 000000007fffffff R10: 0000000000000000 R11: 0000000000000246 R12: 000000000000000c R13: 00007ff9f321b780 R14: 00007ff9f3217600 R15: 00007ff9f3216a00 </TASK> After git bisecting and digging into the code, I believe the root cause is that _deferred_list field of folio is unioned with _hugetlb_subpool field. In __update_and_free_hugetlb_folio(), folio->_deferred_ ---truncated--- Уязвимость компонента mm/hugetlb.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: qca: fix info leak when fetching fw build id Add the missing sanity checks and move the 255-byte build-id buffer off the stack to avoid leaking stack data through debugfs in case the build-info reply is malformed. Уязвимость компонентов drivers/bluetooth/btqca.c, drivers/bluetooth/btqca.h ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: taprio: extend minimum interval restriction to entire cycle too It is possible for syzbot to side-step the restriction imposed by the blamed commit in the Fixes: tag, because the taprio UAPI permits a cycle-time different from (and potentially shorter than) the sum of entry intervals. We need one more restriction, which is that the cycle time itself must be larger than N * ETH_ZLEN bit times, where N is the number of schedule entries. This restriction needs to apply regardless of whether the cycle time came from the user or was the implicit, auto-calculated value, so we move the existing "cycle == 0" check outside the "if "(!new->cycle_time)" branch. This way covers both conditions and scenarios. Add a selftest which illustrates the issue triggered by syzbot. Уязвимость компонентов sch_taprio.c, taprio.json ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: tproxy: bail out if IP has been disabled on the device syzbot reports: general protection fault, probably for non-canonical address 0xdffffc0000000003: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000018-0x000000000000001f] [..] RIP: 0010:nf_tproxy_laddr4+0xb7/0x340 net/ipv4/netfilter/nf_tproxy_ipv4.c:62 Call Trace: nft_tproxy_eval_v4 net/netfilter/nft_tproxy.c:56 [inline] nft_tproxy_eval+0xa9a/0x1a00 net/netfilter/nft_tproxy.c:168 __in_dev_get_rcu() can return NULL, so check for this. Уязвимость функции nf_tproxy_laddr4() модуля net/ipv4/netfilter/nf_tproxy_ipv4.c реализации протокола IPv4 ядра операционной системы Linux связана с разыменованием указателей. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: nfnetlink_queue: acquire rcu_read_lock() in instance_destroy_rcu() syzbot reported that nf_reinject() could be called without rcu_read_lock() : WARNING: suspicious RCU usage 6.9.0-rc7-syzkaller-02060-g5c1672705a1a #0 Not tainted net/netfilter/nfnetlink_queue.c:263 suspicious rcu_dereference_check() usage! other info that might help us debug this: rcu_scheduler_active = 2, debug_locks = 1 2 locks held by syz-executor.4/13427: #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_lock_acquire include/linux/rcupdate.h:329 [inline] #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_do_batch kernel/rcu/tree.c:2190 [inline] #0: ffffffff8e334f60 (rcu_callback){....}-{0:0}, at: rcu_core+0xa86/0x1830 kernel/rcu/tree.c:2471 #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: nfqnl_flush net/netfilter/nfnetlink_queue.c:405 [inline] #1: ffff88801ca92958 (&inst->lock){+.-.}-{2:2}, at: instance_destroy_rcu+0x30/0x220 net/netfilter/nfnetlink_queue.c:172 stack backtrace: CPU: 0 PID: 13427 Comm: syz-executor.4 Not tainted 6.9.0-rc7-syzkaller-02060-g5c1672705a1a #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Call Trace: <IRQ> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 lockdep_rcu_suspicious+0x221/0x340 kernel/locking/lockdep.c:6712 nf_reinject net/netfilter/nfnetlink_queue.c:323 [inline] nfqnl_reinject+0x6ec/0x1120 net/netfilter/nfnetlink_queue.c:397 nfqnl_flush net/netfilter/nfnetlink_queue.c:410 [inline] instance_destroy_rcu+0x1ae/0x220 net/netfilter/nfnetlink_queue.c:172 rcu_do_batch kernel/rcu/tree.c:2196 [inline] rcu_core+0xafd/0x1830 kernel/rcu/tree.c:2471 handle_softirqs+0x2d6/0x990 kernel/softirq.c:554 __do_softirq kernel/softirq.c:588 [inline] invoke_softirq kernel/softirq.c:428 [inline] __irq_exit_rcu+0xf4/0x1c0 kernel/softirq.c:637 irq_exit_rcu+0x9/0x30 kernel/softirq.c:649 instr_sysvec_apic_timer_interrupt arch/x86/kernel/apic/apic.c:1043 [inline] sysvec_apic_timer_interrupt+0xa6/0xc0 arch/x86/kernel/apic/apic.c:1043 </IRQ> <TASK> Уязвимость компонента net/netfilter/nfnetlink_queue.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Serving WebSocket protocol upgrades over a HTTP/2 connection could result in a Null Pointer dereference, leading to a crash of the server process, degrading performance. Уязвимость компонента modules/http2/h2_c2.c веб-сервера Apache HTTP Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:L/A:L', score=5.4) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 zabbix The front-end audit log allows viewing of unprotected plaintext passwords, where the passwords are displayed in plain text. Уязвимость универсальной системы мониторинга Zabbix связана с хранением пароля в незашифрованном виде. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-256'), NistCWE(cwe='CWE-522')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:N', score=8.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix Within Zabbix, users have the ability to directly modify memory pointers in the JavaScript engine. Уязвимость универсальной системы мониторинга Zabbix связана с разыменованием указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-822')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=9.1) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix The implementation of atob in "Zabbix JS" allows to create a string with arbitrary content and use it to access internal properties of objects. Уязвимость метода atob универсальной системы мониторинга Zabbix связана с доступом к критичной частной переменной через общедоступный метод.Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации [NistCWE(cwe='CWE-767')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=6.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix A bug in the code allows an attacker to sign a forged zbx_session cookie, which then allows them to sign in with admin permissions. Уязвимость системы мониторинга Zabbix связана с обходом аутентификации посредством спуфинга. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-290')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=8.8) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 zabbix An authenticated user with API access (e.g.: user with default User role), more specifically a user with access to the user.update API endpoint is enough to be able to add themselves to any group (e.g.: Zabbix Administrators), except to groups that are disabled or having restricted GUI access. Уязвимость компонента API системы мониторинга Zabbix связана с недостатками процедуры авторизации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-285')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере zabbix: - Удалить ПО zabbix, если оно не используется - Отключить и удалить неиспользуемые учётные записи пользователей - Обеспечить возможность запуска zabbix только доверенными пользователями ОС - Использовать ПО Zabbix в виде Docker-контейнера - Ограничьте доступ к Zabbix серверу и агентам, используя брандмауэры и сетевые политики - Используйте шифрование для передачи данных между Zabbix сервером и агентами - Обеспечьте безопасность веб-интерфейса Zabbix, используя HTTPS вместо HTTP. Настройте сервер для использования SSL/TLS сертификатов - Ограничьте доступ к API Zabbix, используя токены аутентификации и ограничивая IP-адреса, с которых разрешены запросы - Для Zabbix-агента создайте отдельного защищённого пользователя - При настройке Zabbix важно принудительно применить атрибуты secure и SameSite для сеансовых файлов cookie для повышения безопасности и предотвращения атак с подделкой межсайтовых запросов (CSRF) - Включить политику безопасности контента (CSP) на веб-сервере - Отключить отображение информации о веб-сервере Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rtrs: Ensure 'ib_sge list' is accessible Move the declaration of the 'ib_sge list' variable outside the 'always_invalidate' block to ensure it remains accessible for use throughout the function. Previously, 'ib_sge list' was declared within the 'always_invalidate' block, limiting its accessibility, then caused a 'BUG: kernel NULL pointer dereference'[1]. ? __die_body.cold+0x19/0x27 ? page_fault_oops+0x15a/0x2d0 ? search_module_extables+0x19/0x60 ? search_bpf_extables+0x5f/0x80 ? exc_page_fault+0x7e/0x180 ? asm_exc_page_fault+0x26/0x30 ? memcpy_orig+0xd5/0x140 rxe_mr_copy+0x1c3/0x200 [rdma_rxe] ? rxe_pool_get_index+0x4b/0x80 [rdma_rxe] copy_data+0xa5/0x230 [rdma_rxe] rxe_requester+0xd9b/0xf70 [rdma_rxe] ? finish_task_switch.isra.0+0x99/0x2e0 rxe_sender+0x13/0x40 [rdma_rxe] do_task+0x68/0x1e0 [rdma_rxe] process_one_work+0x177/0x330 worker_thread+0x252/0x390 ? __pfx_worker_thread+0x10/0x10 This change ensures the variable is available for subsequent operations that require it. [1] https://lore.kernel.org/linux-rdma/6a1f3e8f-deb0-49f9-bc69-a9b03ecfcda7@fujitsu.com/ Уязвимость компонента rtrs-srv.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: null_blk: fix null-ptr-dereference while configuring 'power' and 'submit_queues' Writing 'power' and 'submit_queues' concurrently will trigger kernel panic: Test script: modprobe null_blk nr_devices=0 mkdir -p /sys/kernel/config/nullb/nullb0 while true; do echo 1 > submit_queues; echo 4 > submit_queues; done & while true; do echo 1 > power; echo 0 > power; done Test result: BUG: kernel NULL pointer dereference, address: 0000000000000148 Oops: 0000 [#1] PREEMPT SMP RIP: 0010:__lock_acquire+0x41d/0x28f0 Call Trace: <TASK> lock_acquire+0x121/0x450 down_write+0x5f/0x1d0 simple_recursive_removal+0x12f/0x5c0 blk_mq_debugfs_unregister_hctxs+0x7c/0x100 blk_mq_update_nr_hw_queues+0x4a3/0x720 nullb_update_nr_hw_queues+0x71/0xf0 [null_blk] nullb_device_submit_queues_store+0x79/0xf0 [null_blk] configfs_write_iter+0x119/0x1e0 vfs_write+0x326/0x730 ksys_write+0x74/0x150 This is because del_gendisk() can concurrent with blk_mq_update_nr_hw_queues(): nullb_device_power_store nullb_apply_submit_queues null_del_dev del_gendisk nullb_update_nr_hw_queues if (!dev->nullb) // still set while gendisk is deleted return 0 blk_mq_update_nr_hw_queues dev->nullb = NULL Fix this problem by resuing the global mutex to protect nullb_device_power_store() and nullb_update_nr_hw_queues() from configfs. Уязвимость компонента main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: bridge: add owner module and take its refcount The current implementation of the fpga bridge assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the bridge if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_bridge struct and use it to take the module's refcount. Modify the function for registering a bridge to take an additional owner module parameter and rename it to avoid conflicts. Use the old function name for a helper macro that automatically sets the module that registers the bridge as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a bridge without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga bridge. Other changes: opportunistically move put_device() from __fpga_bridge_get() to fpga_bridge_get() and of_fpga_bridge_get() to improve code clarity since the bridge device is taken in these functions. Уязвимость компонентов fpga-bridge.rst, fpga-bridge.c, fpga-bridge.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tls: fix missing memory barrier in tls_init In tls_init(), a write memory barrier is missing, and store-store reordering may cause NULL dereference in tls_{setsockopt,getsockopt}. CPU0 CPU1 ----- ----- // In tls_init() // In tls_ctx_create() ctx = kzalloc() ctx->sk_proto = READ_ONCE(sk->sk_prot) -(1) // In update_sk_prot() WRITE_ONCE(sk->sk_prot, tls_prots) -(2) // In sock_common_setsockopt() READ_ONCE(sk->sk_prot)->setsockopt() // In tls_{setsockopt,getsockopt}() ctx->sk_proto->setsockopt() -(3) In the above scenario, when (1) and (2) are reordered, (3) can observe the NULL value of ctx->sk_proto, causing NULL dereference. To fix it, we rely on rcu_assign_pointer() which implies the release barrier semantic. By moving rcu_assign_pointer() after ctx->sk_proto is initialized, we can ensure that ctx->sk_proto are visible when changing sk->sk_prot. Уязвимость компонента net/tls/tls_main.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 python-idna A vulnerability was identified in the kjd/idna library, specifically within the `idna.encode()` function, affecting version 3.6. The issue arises from the function's handling of crafted input strings, which can lead to quadratic complexity and consequently, a denial of service condition. This vulnerability is triggered by a crafted input that causes the `idna.encode()` function to process the input with considerable computational load, significantly increasing the processing time in a quadratic manner relative to the input size. Уязвимость функции idna.encode() библиотеки Python для работы с интернационализированными именами доменов Idna связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-1333')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) python-idna: - Использовать ПО python-idna только на низком или отдельно выделенном уровне целостности - При использовании ПО python-idna выполнять обработку файлов, полученных только из доверенных источников - Обеспечить возможность запуска python-idna только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 ffmpeg FFmpeg n6.1.1 has a vulnerability in the AVI demuxer of the libavformat library which allows for an integer overflow, potentially resulting in a denial-of-service (DoS) condition. Уязвимость демультиплексора для файлов AVI библиотеки libavformat мультимедийной библиотеки FFmpeg связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=6.2) ffmpeg: 1. Удалить ПО ffmpeg, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды ffmpeg5: 1. Удалить ПО ffmpeg5, если оно не используется и не является зависимостью других пакетов 2. Отказаться от использования ПО ffmpeg5 в пользу ПО gstreamer 3. Соблюдайте следующие требования: - Использовать ПО ffmpeg5 только на низком или отдельно выделенном уровне целостности - При использовании ПО ffmpeg5 выполнять обработку файлов, полученных только из доверенных источников - Активировать и настроить профили пользователей для работы в режиме Киоск-2 - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash - Запретить установку бита исполнения для всех пользователей, включая администраторов - Включить режим замкнутой программной среды Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Bluetooth: qca: add missing firmware sanity checks Add the missing sanity checks when parsing the firmware files before downloading them to avoid accessing and corrupting memory beyond the vmalloced buffer. Уязвимость компонента qca ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm: use memalloc_nofs_save() in page_cache_ra_order() See commit f2c817bed58d ("mm: use memalloc_nofs_save in readahead path"), ensure that page_cache_ra_order() do not attempt to reclaim file-backed pages too, or it leads to a deadlock, found issue when test ext4 large folio. INFO: task DataXceiver for:7494 blocked for more than 120 seconds. "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:DataXceiver for state:D stack:0 pid:7494 ppid:1 flags:0x00000200 Call trace: __switch_to+0x14c/0x240 __schedule+0x82c/0xdd0 schedule+0x58/0xf0 io_schedule+0x24/0xa0 __folio_lock+0x130/0x300 migrate_pages_batch+0x378/0x918 migrate_pages+0x350/0x700 compact_zone+0x63c/0xb38 compact_zone_order+0xc0/0x118 try_to_compact_pages+0xb0/0x280 __alloc_pages_direct_compact+0x98/0x248 __alloc_pages+0x510/0x1110 alloc_pages+0x9c/0x130 folio_alloc+0x20/0x78 filemap_alloc_folio+0x8c/0x1b0 page_cache_ra_order+0x174/0x308 ondemand_readahead+0x1c8/0x2b8 page_cache_async_ra+0x68/0xb8 filemap_readahead.isra.0+0x64/0xa8 filemap_get_pages+0x3fc/0x5b0 filemap_splice_read+0xf4/0x280 ext4_file_splice_read+0x2c/0x48 [ext4] vfs_splice_read.part.0+0xa8/0x118 splice_direct_to_actor+0xbc/0x288 do_splice_direct+0x9c/0x108 do_sendfile+0x328/0x468 __arm64_sys_sendfile64+0x8c/0x148 invoke_syscall+0x4c/0x118 el0_svc_common.constprop.0+0xc8/0xf0 do_el0_svc+0x24/0x38 el0_svc+0x4c/0x1f8 el0t_64_sync_handler+0xc0/0xc8 el0t_64_sync+0x188/0x190 Уязвимость функции page_cache_ra_order() ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fix out-of-bounds access in ops_init net_alloc_generic is called by net_alloc, which is called without any locking. It reads max_gen_ptrs, which is changed under pernet_ops_rwsem. It is read twice, first to allocate an array, then to set s.len, which is later used to limit the bounds of the array access. It is possible that the array is allocated and another thread is registering a new pernet ops, increments max_gen_ptrs, which is then used to set s.len with a larger than allocated length for the variable array. Fix it by reading max_gen_ptrs only once in net_alloc_generic. If max_gen_ptrs is later incremented, it will be caught in net_assign_generic. Уязвимость функции net_alloc_generic() в модуле net/core/net_namespace.c ядра операционной системы Linux связана с обращением к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure snd_nxt is properly initialized on connect Christoph reported a splat hinting at a corrupted snd_una: WARNING: CPU: 1 PID: 38 at net/mptcp/protocol.c:1005 __mptcp_clean_una+0x4b3/0x620 net/mptcp/protocol.c:1005 Modules linked in: CPU: 1 PID: 38 Comm: kworker/1:1 Not tainted 6.9.0-rc1-gbbeac67456c9 #59 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.11.0-2.el7 04/01/2014 Workqueue: events mptcp_worker RIP: 0010:__mptcp_clean_una+0x4b3/0x620 net/mptcp/protocol.c:1005 Code: be 06 01 00 00 bf 06 01 00 00 e8 a8 12 e7 fe e9 00 fe ff ff e8 8e 1a e7 fe 0f b7 ab 3e 02 00 00 e9 d3 fd ff ff e8 7d 1a e7 fe <0f> 0b 4c 8b bb e0 05 00 00 e9 74 fc ff ff e8 6a 1a e7 fe 0f 0b e9 RSP: 0018:ffffc9000013fd48 EFLAGS: 00010293 RAX: 0000000000000000 RBX: ffff8881029bd280 RCX: ffffffff82382fe4 RDX: ffff8881003cbd00 RSI: ffffffff823833c3 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000000 R11: fefefefefefefeff R12: ffff888138ba8000 R13: 0000000000000106 R14: ffff8881029bd908 R15: ffff888126560000 FS: 0000000000000000(0000) GS:ffff88813bd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f604a5dae38 CR3: 0000000101dac002 CR4: 0000000000170ef0 Call Trace: <TASK> __mptcp_clean_una_wakeup net/mptcp/protocol.c:1055 [inline] mptcp_clean_una_wakeup net/mptcp/protocol.c:1062 [inline] __mptcp_retrans+0x7f/0x7e0 net/mptcp/protocol.c:2615 mptcp_worker+0x434/0x740 net/mptcp/protocol.c:2767 process_one_work+0x1e0/0x560 kernel/workqueue.c:3254 process_scheduled_works kernel/workqueue.c:3335 [inline] worker_thread+0x3c7/0x640 kernel/workqueue.c:3416 kthread+0x121/0x170 kernel/kthread.c:388 ret_from_fork+0x44/0x50 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:243 </TASK> When fallback to TCP happens early on a client socket, snd_nxt is not yet initialized and any incoming ack will copy such value into snd_una. If the mptcp worker (dumbly) tries mptcp-level re-injection after such ack, that would unconditionally trigger a send buffer cleanup using 'bad' snd_una values. We could easily disable re-injection for fallback sockets, but such dumb behavior already helped catching a few subtle issues and a very low to zero impact in practice. Instead address the issue always initializing snd_nxt (and write_seq, for consistency) at connect time. Уязвимость компонента net/mptcp/protocol.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/slab: make __free(kfree) accept error pointers Currently, if an automatically freed allocation is an error pointer that will lead to a crash. An example of this is in wm831x_gpio_dbg_show(). 171 char *label __free(kfree) = gpiochip_dup_line_label(chip, i); 172 if (IS_ERR(label)) { 173 dev_err(wm831x->dev, "Failed to duplicate label\n"); 174 continue; 175 } The auto clean up function should check for error pointers as well, otherwise we're going to keep hitting issues like this. Уязвимость компонента slab.h ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-763')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: maple_tree: fix mas_empty_area_rev() null pointer dereference Currently the code calls mas_start() followed by mas_data_end() if the maple state is MA_START, but mas_start() may return with the maple state node == NULL. This will lead to a null pointer dereference when checking information in the NULL node, which is done in mas_data_end(). Avoid setting the offset if there is no node by waiting until after the maple state is checked for an empty or single entry state. A user could trigger the events to cause a kernel oops by unmapping all vmas to produce an empty maple tree, then mapping a vma that would cause the scenario described above. Уязвимость функции mas_empty_area_rev() компонента lib/maple_tree.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: typec: tcpm: Check for port partner validity before consuming it typec_register_partner() does not guarantee partner registration to always succeed. In the event of failure, port->partner is set to the error value or NULL. Given that port->partner validity is not checked, this results in the following crash: Unable to handle kernel NULL pointer dereference at virtual address xx pc : run_state_machine+0x1bc8/0x1c08 lr : run_state_machine+0x1b90/0x1c08 .. Call trace: run_state_machine+0x1bc8/0x1c08 tcpm_state_machine_work+0x94/0xe4 kthread_worker_fn+0x118/0x328 kthread+0x1d0/0x23c ret_from_fork+0x10/0x20 To prevent the crash, check for port->partner validity before derefencing it in all the call sites. Уязвимость компонента tcpm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: f_fs: Fix race between aio_cancel() and AIO request complete FFS based applications can utilize the aio_cancel() callback to dequeue pending USB requests submitted to the UDC. There is a scenario where the FFS application issues an AIO cancel call, while the UDC is handling a soft disconnect. For a DWC3 based implementation, the callstack looks like the following: DWC3 Gadget FFS Application dwc3_gadget_soft_disconnect() ... --> dwc3_stop_active_transfers() --> dwc3_gadget_giveback(-ESHUTDOWN) --> ffs_epfile_async_io_complete() ffs_aio_cancel() --> usb_ep_free_request() --> usb_ep_dequeue() There is currently no locking implemented between the AIO completion handler and AIO cancel, so the issue occurs if the completion routine is running in parallel to an AIO cancel call coming from the FFS application. As the completion call frees the USB request (io_data->req) the FFS application is also referencing it for the usb_ep_dequeue() call. This can lead to accessing a stale/hanging pointer. commit b566d38857fc ("usb: gadget: f_fs: use io_data->status consistently") relocated the usb_ep_free_request() into ffs_epfile_async_io_complete(). However, in order to properly implement locking to mitigate this issue, the spinlock can't be added to ffs_epfile_async_io_complete(), as usb_ep_dequeue() (if successfully dequeuing a USB request) will call the function driver's completion handler in the same context. Hence, leading into a deadlock. Fix this issue by moving the usb_ep_free_request() back to ffs_user_copy_worker(), and ensuring that it explicitly sets io_data->req to NULL after freeing it within the ffs->eps_lock. This resolves the race condition above, as the ffs_aio_cancel() routine will not continue attempting to dequeue a request that has already been freed, or the ffs_user_copy_work() not freeing the USB request until the AIO cancel is done referencing it. This fix depends on commit b566d38857fc ("usb: gadget: f_fs: use io_data->status consistently") Уязвимость компонента f_fs ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Atom Integrated System Info v2_2 for DCN35 New request from KMD/VBIOS in order to support new UMA carveout model. This fixes a null dereference from accessing Ctx->dc_bios->integrated_info while it was NULL. DAL parses through the BIOS and extracts the necessary integrated_info but was missing a case for the new BIOS version 2.3. Уязвимость компонента drm/amd/display ядра операционной системы Linux связана с разыменованием указателя NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gpiolib: cdev: fix uninitialised kfifo If a line is requested with debounce, and that results in debouncing in software, and the line is subsequently reconfigured to enable edge detection then the allocation of the kfifo to contain edge events is overlooked. This results in events being written to and read from an uninitialised kfifo. Read events are returned to userspace. Initialise the kfifo in the case where the software debounce is already active. Уязвимость компонента gpiolib-cdev.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix kernel crash when devlink reload during initialization The devlink reload process will access the hardware resources, but the register operation is done before the hardware is initialized. So, processing the devlink reload during initialization may lead to kernel crash. This patch fixes this by registering the devlink after hardware initialization. Уязвимость компонентов hclge_main.c, hclgevf_main.c ядра операционной системы Linux связана с ошибками при инициализации переменных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent NULL dereference in ip6_output() According to syzbot, there is a chance that ip6_dst_idev() returns NULL in ip6_output(). Most places in IPv6 stack deal with a NULL idev just fine, but not here. syzbot reported: general protection fault, probably for non-canonical address 0xdffffc00000000bc: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x00000000000005e0-0x00000000000005e7] CPU: 0 PID: 9775 Comm: syz-executor.4 Not tainted 6.9.0-rc5-syzkaller-00157-g6a30653b604a #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:ip6_output+0x231/0x3f0 net/ipv6/ip6_output.c:237 Code: 3c 1e 00 49 89 df 74 08 4c 89 ef e8 19 58 db f7 48 8b 44 24 20 49 89 45 00 49 89 c5 48 8d 9d e0 05 00 00 48 89 d8 48 c1 e8 03 <42> 0f b6 04 38 84 c0 4c 8b 74 24 28 0f 85 61 01 00 00 8b 1b 31 ff RSP: 0018:ffffc9000927f0d8 EFLAGS: 00010202 RAX: 00000000000000bc RBX: 00000000000005e0 RCX: 0000000000040000 RDX: ffffc900131f9000 RSI: 0000000000004f47 RDI: 0000000000004f48 RBP: 0000000000000000 R08: ffffffff8a1f0b9a R09: 1ffffffff1f51fad R10: dffffc0000000000 R11: fffffbfff1f51fae R12: ffff8880293ec8c0 R13: ffff88805d7fc000 R14: 1ffff1100527d91a R15: dffffc0000000000 FS: 00007f135c6856c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020000080 CR3: 0000000064096000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> NF_HOOK include/linux/netfilter.h:314 [inline] ip6_xmit+0xefe/0x17f0 net/ipv6/ip6_output.c:358 sctp_v6_xmit+0x9f2/0x13f0 net/sctp/ipv6.c:248 sctp_packet_transmit+0x26ad/0x2ca0 net/sctp/output.c:653 sctp_packet_singleton+0x22c/0x320 net/sctp/outqueue.c:783 sctp_outq_flush_ctrl net/sctp/outqueue.c:914 [inline] sctp_outq_flush+0x6d5/0x3e20 net/sctp/outqueue.c:1212 sctp_side_effects net/sctp/sm_sideeffect.c:1198 [inline] sctp_do_sm+0x59cc/0x60c0 net/sctp/sm_sideeffect.c:1169 sctp_primitive_ASSOCIATE+0x95/0xc0 net/sctp/primitive.c:73 __sctp_connect+0x9cd/0xe30 net/sctp/socket.c:1234 sctp_connect net/sctp/socket.c:4819 [inline] sctp_inet_connect+0x149/0x1f0 net/sctp/socket.c:4834 __sys_connect_file net/socket.c:2048 [inline] __sys_connect+0x2df/0x310 net/socket.c:2065 __do_sys_connect net/socket.c:2075 [inline] __se_sys_connect net/socket.c:2072 [inline] __x64_sys_connect+0x7a/0x90 net/socket.c:2072 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции ip6_output() в модуле net/ipv6/ip6_output.c реализации протокола IPv6 ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fib6_rules: avoid possible NULL dereference in fib6_rule_action() syzbot is able to trigger the following crash [1], caused by unsafe ip6_dst_idev() use. Indeed ip6_dst_idev() can return NULL, and must always be checked. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 0 PID: 31648 Comm: syz-executor.0 Not tainted 6.9.0-rc4-next-20240417-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 RIP: 0010:__fib6_rule_action net/ipv6/fib6_rules.c:237 [inline] RIP: 0010:fib6_rule_action+0x241/0x7b0 net/ipv6/fib6_rules.c:267 Code: 02 00 00 49 8d 9f d8 00 00 00 48 89 d8 48 c1 e8 03 42 80 3c 20 00 74 08 48 89 df e8 f9 32 bf f7 48 8b 1b 48 89 d8 48 c1 e8 03 <42> 80 3c 20 00 74 08 48 89 df e8 e0 32 bf f7 4c 8b 03 48 89 ef 4c RSP: 0018:ffffc9000fc1f2f0 EFLAGS: 00010246 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 1a772f98c8186700 RDX: 0000000000000003 RSI: ffffffff8bcac4e0 RDI: ffffffff8c1f9760 RBP: ffff8880673fb980 R08: ffffffff8fac15ef R09: 1ffffffff1f582bd R10: dffffc0000000000 R11: fffffbfff1f582be R12: dffffc0000000000 R13: 0000000000000080 R14: ffff888076509000 R15: ffff88807a029a00 FS: 00007f55e82ca6c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b31d23000 CR3: 0000000022b66000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> fib_rules_lookup+0x62c/0xdb0 net/core/fib_rules.c:317 fib6_rule_lookup+0x1fd/0x790 net/ipv6/fib6_rules.c:108 ip6_route_output_flags_noref net/ipv6/route.c:2637 [inline] ip6_route_output_flags+0x38e/0x610 net/ipv6/route.c:2649 ip6_route_output include/net/ip6_route.h:93 [inline] ip6_dst_lookup_tail+0x189/0x11a0 net/ipv6/ip6_output.c:1120 ip6_dst_lookup_flow+0xb9/0x180 net/ipv6/ip6_output.c:1250 sctp_v6_get_dst+0x792/0x1e20 net/sctp/ipv6.c:326 sctp_transport_route+0x12c/0x2e0 net/sctp/transport.c:455 sctp_assoc_add_peer+0x614/0x15c0 net/sctp/associola.c:662 sctp_connect_new_asoc+0x31d/0x6c0 net/sctp/socket.c:1099 __sctp_connect+0x66d/0xe30 net/sctp/socket.c:1197 sctp_connect net/sctp/socket.c:4819 [inline] sctp_inet_connect+0x149/0x1f0 net/sctp/socket.c:4834 __sys_connect_file net/socket.c:2048 [inline] __sys_connect+0x2df/0x310 net/socket.c:2065 __do_sys_connect net/socket.c:2075 [inline] __se_sys_connect net/socket.c:2072 [inline] __x64_sys_connect+0x7a/0x90 net/socket.c:2072 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции __fib6_rule_action() в модуле net/ipv6/fib6_rules.c реализации протокола IPv6 ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Use refcount_inc_not_zero() in tcp_twsk_unique(). Anderson Nascimento reported a use-after-free splat in tcp_twsk_unique() with nice analysis. Since commit ec94c2696f0b ("tcp/dccp: avoid one atomic operation for timewait hashdance"), inet_twsk_hashdance() sets TIME-WAIT socket's sk_refcnt after putting it into ehash and releasing the bucket lock. Thus, there is a small race window where other threads could try to reuse the port during connect() and call sock_hold() in tcp_twsk_unique() for the TIME-WAIT socket with zero refcnt. If that happens, the refcnt taken by tcp_twsk_unique() is overwritten and sock_put() will cause underflow, triggering a real use-after-free somewhere else. To avoid the use-after-free, we need to use refcount_inc_not_zero() in tcp_twsk_unique() and give up on reusing the port if it returns false. [0]: refcount_t: addition on 0; use-after-free. WARNING: CPU: 0 PID: 1039313 at lib/refcount.c:25 refcount_warn_saturate+0xe5/0x110 CPU: 0 PID: 1039313 Comm: trigger Not tainted 6.8.6-200.fc39.x86_64 #1 Hardware name: VMware, Inc. VMware20,1/440BX Desktop Reference Platform, BIOS VMW201.00V.21805430.B64.2305221830 05/22/2023 RIP: 0010:refcount_warn_saturate+0xe5/0x110 Code: 42 8e ff 0f 0b c3 cc cc cc cc 80 3d aa 13 ea 01 00 0f 85 5e ff ff ff 48 c7 c7 f8 8e b7 82 c6 05 96 13 ea 01 01 e8 7b 42 8e ff <0f> 0b c3 cc cc cc cc 48 c7 c7 50 8f b7 82 c6 05 7a 13 ea 01 01 e8 RSP: 0018:ffffc90006b43b60 EFLAGS: 00010282 RAX: 0000000000000000 RBX: ffff888009bb3ef0 RCX: 0000000000000027 RDX: ffff88807be218c8 RSI: 0000000000000001 RDI: ffff88807be218c0 RBP: 0000000000069d70 R08: 0000000000000000 R09: ffffc90006b439f0 R10: ffffc90006b439e8 R11: 0000000000000003 R12: ffff8880029ede84 R13: 0000000000004e20 R14: ffffffff84356dc0 R15: ffff888009bb3ef0 FS: 00007f62c10926c0(0000) GS:ffff88807be00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000020ccb000 CR3: 000000004628c005 CR4: 0000000000f70ef0 PKRU: 55555554 Call Trace: <TASK> ? refcount_warn_saturate+0xe5/0x110 ? __warn+0x81/0x130 ? refcount_warn_saturate+0xe5/0x110 ? report_bug+0x171/0x1a0 ? refcount_warn_saturate+0xe5/0x110 ? handle_bug+0x3c/0x80 ? exc_invalid_op+0x17/0x70 ? asm_exc_invalid_op+0x1a/0x20 ? refcount_warn_saturate+0xe5/0x110 tcp_twsk_unique+0x186/0x190 __inet_check_established+0x176/0x2d0 __inet_hash_connect+0x74/0x7d0 ? __pfx___inet_check_established+0x10/0x10 tcp_v4_connect+0x278/0x530 __inet_stream_connect+0x10f/0x3d0 inet_stream_connect+0x3a/0x60 __sys_connect+0xa8/0xd0 __x64_sys_connect+0x18/0x20 do_syscall_64+0x83/0x170 entry_SYSCALL_64_after_hwframe+0x78/0x80 RIP: 0033:0x7f62c11a885d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d a3 45 0c 00 f7 d8 64 89 01 48 RSP: 002b:00007f62c1091e58 EFLAGS: 00000296 ORIG_RAX: 000000000000002a RAX: ffffffffffffffda RBX: 0000000020ccb004 RCX: 00007f62c11a885d RDX: 0000000000000010 RSI: 0000000020ccb000 RDI: 0000000000000003 RBP: 00007f62c1091e90 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000296 R12: 00007f62c10926c0 R13: ffffffffffffff88 R14: 0000000000000000 R15: 00007ffe237885b0 </TASK> Уязвимость функции tcp_twsk_unique() модуля net/ipv4/tcp_ipv4.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ARM: 9381/1: kasan: clear stale stack poison We found below OOB crash: [ 33.452494] ================================================================== [ 33.453513] BUG: KASAN: stack-out-of-bounds in refresh_cpu_vm_stats.constprop.0+0xcc/0x2ec [ 33.454660] Write of size 164 at addr c1d03d30 by task swapper/0/0 [ 33.455515] [ 33.455767] CPU: 0 PID: 0 Comm: swapper/0 Tainted: G O 6.1.25-mainline #1 [ 33.456880] Hardware name: Generic DT based system [ 33.457555] unwind_backtrace from show_stack+0x18/0x1c [ 33.458326] show_stack from dump_stack_lvl+0x40/0x4c [ 33.459072] dump_stack_lvl from print_report+0x158/0x4a4 [ 33.459863] print_report from kasan_report+0x9c/0x148 [ 33.460616] kasan_report from kasan_check_range+0x94/0x1a0 [ 33.461424] kasan_check_range from memset+0x20/0x3c [ 33.462157] memset from refresh_cpu_vm_stats.constprop.0+0xcc/0x2ec [ 33.463064] refresh_cpu_vm_stats.constprop.0 from tick_nohz_idle_stop_tick+0x180/0x53c [ 33.464181] tick_nohz_idle_stop_tick from do_idle+0x264/0x354 [ 33.465029] do_idle from cpu_startup_entry+0x20/0x24 [ 33.465769] cpu_startup_entry from rest_init+0xf0/0xf4 [ 33.466528] rest_init from arch_post_acpi_subsys_init+0x0/0x18 [ 33.467397] [ 33.467644] The buggy address belongs to stack of task swapper/0/0 [ 33.468493] and is located at offset 112 in frame: [ 33.469172] refresh_cpu_vm_stats.constprop.0+0x0/0x2ec [ 33.469917] [ 33.470165] This frame has 2 objects: [ 33.470696] [32, 76) 'global_zone_diff' [ 33.470729] [112, 276) 'global_node_diff' [ 33.471294] [ 33.472095] The buggy address belongs to the physical page: [ 33.472862] page:3cd72da8 refcount:1 mapcount:0 mapping:00000000 index:0x0 pfn:0x41d03 [ 33.473944] flags: 0x1000(reserved|zone=0) [ 33.474565] raw: 00001000 ed741470 ed741470 00000000 00000000 00000000 ffffffff 00000001 [ 33.475656] raw: 00000000 [ 33.476050] page dumped because: kasan: bad access detected [ 33.476816] [ 33.477061] Memory state around the buggy address: [ 33.477732] c1d03c00: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 [ 33.478630] c1d03c80: 00 00 00 00 00 00 00 00 f1 f1 f1 f1 00 00 00 00 [ 33.479526] >c1d03d00: 00 04 f2 f2 f2 f2 00 00 00 00 00 00 f1 f1 f1 f1 [ 33.480415] ^ [ 33.481195] c1d03d80: 00 00 00 00 00 00 00 00 00 00 04 f3 f3 f3 f3 f3 [ 33.482088] c1d03e00: f3 f3 f3 f3 00 00 00 00 00 00 00 00 00 00 00 00 [ 33.482978] ================================================================== We find the root cause of this OOB is that arm does not clear stale stack poison in the case of cpuidle. This patch refer to arch/arm64/kernel/sleep.S to resolve this issue. From cited commit [1] that explain the problem Functions which the compiler has instrumented for KASAN place poison on the stack shadow upon entry and remove this poison prior to returning. In the case of cpuidle, CPUs exit the kernel a number of levels deep in C code. Any instrumented functions on this critical path will leave portions of the stack shadow poisoned. If CPUs lose context and return to the kernel via a cold path, we restore a prior context saved in __cpu_suspend_enter are forgotten, and we never remove the poison they placed in the stack shadow area by functions calls between this and the actual exit of the kernel. Thus, (depending on stackframe layout) subsequent calls to instrumented functions may hit this stale poison, resulting in (spurious) KASAN splats to the console. To avoid this, clear any stale poison from the idle thread for a CPU prior to bringing a CPU online. From cited commit [2] Extend to check for CONFIG_KASAN_STACK [1] commit 0d97e6d8024c ("arm64: kasan: clear stale stack poison") [2] commit d56a9ef84bd0 ("kasan, arm64: unpoison stack only with CONFIG_KASAN_STACK") Уязвимость ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Drivers: hv: vmbus: Don't free ring buffers that couldn't be re-encrypted In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. The VMBus ring buffer code could free decrypted/shared pages if set_memory_decrypted() fails. Check the decrypted field in the struct vmbus_gpadl for the ring buffers to decide whether to free the memory. Уязвимость компонента channel.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=9.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: uio_hv_generic: Don't free decrypted memory In CoCo VMs it is possible for the untrusted host to cause set_memory_encrypted() or set_memory_decrypted() to fail such that an error is returned and the resulting memory is shared. Callers need to take care to handle these errors to avoid returning decrypted (shared) memory to the page allocator, which could lead to functional or security issues. The VMBus device UIO driver could free decrypted/shared pages if set_memory_decrypted() fails. Check the decrypted field in the gpadl to decide whether to free the memory. Уязвимость компонента uio_hv_generic.c ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-200')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: llcp: fix nfc_llcp_setsockopt() unsafe copies syzbot reported unsafe calls to copy_from_sockptr() [1] Use copy_safe_from_sockptr() instead. [1] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] BUG: KASAN: slab-out-of-bounds in copy_from_sockptr include/linux/sockptr.h:55 [inline] BUG: KASAN: slab-out-of-bounds in nfc_llcp_setsockopt+0x6c2/0x850 net/nfc/llcp_sock.c:255 Read of size 4 at addr ffff88801caa1ec3 by task syz-executor459/5078 CPU: 0 PID: 5078 Comm: syz-executor459 Not tainted 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 copy_from_sockptr_offset include/linux/sockptr.h:49 [inline] copy_from_sockptr include/linux/sockptr.h:55 [inline] nfc_llcp_setsockopt+0x6c2/0x850 net/nfc/llcp_sock.c:255 do_sock_setsockopt+0x3b1/0x720 net/socket.c:2311 __sys_setsockopt+0x1ae/0x250 net/socket.c:2334 __do_sys_setsockopt net/socket.c:2343 [inline] __se_sys_setsockopt net/socket.c:2340 [inline] __x64_sys_setsockopt+0xb5/0xd0 net/socket.c:2340 do_syscall_64+0xfd/0x240 entry_SYSCALL_64_after_hwframe+0x6d/0x75 RIP: 0033:0x7f7fac07fd89 Code: 28 00 00 00 75 05 48 83 c4 28 c3 e8 91 18 00 00 90 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 c7 c1 b8 ff ff ff f7 d8 64 89 01 48 RSP: 002b:00007fff660eb788 EFLAGS: 00000246 ORIG_RAX: 0000000000000036 RAX: ffffffffffffffda RBX: 0000000000000003 RCX: 00007f7fac07fd89 RDX: 0000000000000000 RSI: 0000000000000118 RDI: 0000000000000004 RBP: 0000000000000000 R08: 0000000000000002 R09: 0000000000000000 R10: 0000000020000a80 R11: 0000000000000246 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 Уязвимость компонента llcp_sock.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: blk-iocost: avoid out of bounds shift UBSAN catches undefined behavior in blk-iocost, where sometimes iocg->delay is shifted right by a number that is too large, resulting in undefined behavior on some architectures. [ 186.556576] ------------[ cut here ]------------ UBSAN: shift-out-of-bounds in block/blk-iocost.c:1366:23 shift exponent 64 is too large for 64-bit type 'u64' (aka 'unsigned long long') CPU: 16 PID: 0 Comm: swapper/16 Tainted: G S E N 6.9.0-0_fbk700_debug_rc2_kbuilder_0_gc85af715cac0 #1 Hardware name: Quanta Twin Lakes MP/Twin Lakes Passive MP, BIOS F09_3A23 12/08/2020 Call Trace: <IRQ> dump_stack_lvl+0x8f/0xe0 __ubsan_handle_shift_out_of_bounds+0x22c/0x280 iocg_kick_delay+0x30b/0x310 ioc_timer_fn+0x2fb/0x1f80 __run_timer_base+0x1b6/0x250 ... Avoid that undefined behavior by simply taking the "delay = 0" branch if the shift is too large. I am not sure what the symptoms of an undefined value delay will be, but I suspect it could be more than a little annoying to debug. Уязвимость функции iocg_kick_delay() в модуле block/blk-iocost.c компонента blk-iocost ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: block: fix overflow in blk_ioctl_discard() There is no check for overflow of 'start + len' in blk_ioctl_discard(). Hung task occurs if submit an discard ioctl with the following param: start = 0x80000000000ff000, len = 0x8000000000fff000; Add the overflow validation now. Уязвимость компонента ioctl.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Check bloom filter map value size This patch adds a missing check to bloom filter creating, rejecting values above KMALLOC_MAX_SIZE. This brings the bloom map in line with many other map types. The lack of this protection can cause kernel crashes for value sizes that overflow int's. Such a crash was caught by syzkaller. The next patch adds more guard-rails at a lower level. Уязвимость компонентов bloom_filter.c, bloom_filter_map.c ядра операционной системы Linux связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bnx2fc: Remove spin_lock_bh while releasing resources after upload The session resources are used by FW and driver when session is offloaded, once session is uploaded these resources are not used. The lock is not required as these fields won't be used any longer. The offload and upload calls are sequential, hence lock is not required. This will suppress following BUG_ON(): [ 449.843143] ------------[ cut here ]------------ [ 449.848302] kernel BUG at mm/vmalloc.c:2727! [ 449.853072] invalid opcode: 0000 [#1] PREEMPT SMP PTI [ 449.858712] CPU: 5 PID: 1996 Comm: kworker/u24:2 Not tainted 5.14.0-118.el9.x86_64 #1 Rebooting. [ 449.867454] Hardware name: Dell Inc. PowerEdge R730/0WCJNT, BIOS 2.3.4 11/08/2016 [ 449.876966] Workqueue: fc_rport_eq fc_rport_work [libfc] [ 449.882910] RIP: 0010:vunmap+0x2e/0x30 [ 449.887098] Code: 00 65 8b 05 14 a2 f0 4a a9 00 ff ff 00 75 1b 55 48 89 fd e8 34 36 79 00 48 85 ed 74 0b 48 89 ef 31 f6 5d e9 14 fc ff ff 5d c3 <0f> 0b 0f 1f 44 00 00 41 57 41 56 49 89 ce 41 55 49 89 fd 41 54 41 [ 449.908054] RSP: 0018:ffffb83d878b3d68 EFLAGS: 00010206 [ 449.913887] RAX: 0000000080000201 RBX: ffff8f4355133550 RCX: 000000000d400005 [ 449.921843] RDX: 0000000000000001 RSI: 0000000000001000 RDI: ffffb83da53f5000 [ 449.929808] RBP: ffff8f4ac6675800 R08: ffffb83d878b3d30 R09: 00000000000efbdf [ 449.937774] R10: 0000000000000003 R11: ffff8f434573e000 R12: 0000000000001000 [ 449.945736] R13: 0000000000001000 R14: ffffb83da53f5000 R15: ffff8f43d4ea3ae0 [ 449.953701] FS: 0000000000000000(0000) GS:ffff8f529fc80000(0000) knlGS:0000000000000000 [ 449.962732] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 449.969138] CR2: 00007f8cf993e150 CR3: 0000000efbe10003 CR4: 00000000003706e0 [ 449.977102] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 449.985065] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 449.993028] Call Trace: [ 449.995756] __iommu_dma_free+0x96/0x100 [ 450.000139] bnx2fc_free_session_resc+0x67/0x240 [bnx2fc] [ 450.006171] bnx2fc_upload_session+0xce/0x100 [bnx2fc] [ 450.011910] bnx2fc_rport_event_handler+0x9f/0x240 [bnx2fc] [ 450.018136] fc_rport_work+0x103/0x5b0 [libfc] [ 450.023103] process_one_work+0x1e8/0x3c0 [ 450.027581] worker_thread+0x50/0x3b0 [ 450.031669] ? rescuer_thread+0x370/0x370 [ 450.036143] kthread+0x149/0x170 [ 450.039744] ? set_kthread_struct+0x40/0x40 [ 450.044411] ret_from_fork+0x22/0x30 [ 450.048404] Modules linked in: vfat msdos fat xfs nfs_layout_nfsv41_files rpcsec_gss_krb5 auth_rpcgss nfsv4 dns_resolver dm_service_time qedf qed crc8 bnx2fc libfcoe libfc scsi_transport_fc intel_rapl_msr intel_rapl_common x86_pkg_temp_thermal intel_powerclamp dcdbas rapl intel_cstate intel_uncore mei_me pcspkr mei ipmi_ssif lpc_ich ipmi_si fuse zram ext4 mbcache jbd2 loop nfsv3 nfs_acl nfs lockd grace fscache netfs irdma ice sd_mod t10_pi sg ib_uverbs ib_core 8021q garp mrp stp llc mgag200 i2c_algo_bit drm_kms_helper syscopyarea sysfillrect sysimgblt mxm_wmi fb_sys_fops cec crct10dif_pclmul ahci crc32_pclmul bnx2x drm ghash_clmulni_intel libahci rfkill i40e libata megaraid_sas mdio wmi sunrpc lrw dm_crypt dm_round_robin dm_multipath dm_snapshot dm_bufio dm_mirror dm_region_hash dm_log dm_zero dm_mod linear raid10 raid456 async_raid6_recov async_memcpy async_pq async_xor async_tx raid6_pq libcrc32c crc32c_intel raid1 raid0 iscsi_ibft squashfs be2iscsi bnx2i cnic uio cxgb4i cxgb4 tls [ 450.048497] libcxgbi libcxgb qla4xxx iscsi_boot_sysfs iscsi_tcp libiscsi_tcp libiscsi scsi_transport_iscsi edd ipmi_devintf ipmi_msghandler [ 450.159753] ---[ end trace 712de2c57c64abc8 ]--- Уязвимость компонента bnx2fc ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpi3mr: Avoid memcpy field-spanning write WARNING When the "storcli2 show" command is executed for eHBA-9600, mpi3mr driver prints this WARNING message: memcpy: detected field-spanning write (size 128) of single field "bsg_reply_buf->reply_buf" at drivers/scsi/mpi3mr/mpi3mr_app.c:1658 (size 1) WARNING: CPU: 0 PID: 12760 at drivers/scsi/mpi3mr/mpi3mr_app.c:1658 mpi3mr_bsg_request+0x6b12/0x7f10 [mpi3mr] The cause of the WARN is 128 bytes memcpy to the 1 byte size array "__u8 replay_buf[1]" in the struct mpi3mr_bsg_in_reply_buf. The array is intended to be a flexible length array, so the WARN is a false positive. To suppress the WARN, remove the constant number '1' from the array declaration and clarify that it has flexible length. Also, adjust the memory allocation size to match the change. Уязвимость компонентов mpi3mr_app.c, scsi_bsg_mpi3mr.h ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю оказать неопределенное воздействие [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Release hbalock before calling lpfc_worker_wake_up() lpfc_worker_wake_up() calls the lpfc_work_done() routine, which takes the hbalock. Thus, lpfc_worker_wake_up() should not be called while holding the hbalock to avoid potential deadlock. Уязвимость компонентов lpfc_els.c, lpfc_hbadisc.c, lpfc_sli.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries/iommu: LPAR panics during boot up with a frozen PE At the time of LPAR boot up, partition firmware provides Open Firmware property ibm,dma-window for the PE. This property is provided on the PCI bus the PE is attached to. There are execptions where the partition firmware might not provide this property for the PE at the time of LPAR boot up. One of the scenario is where the firmware has frozen the PE due to some error condition. This PE is frozen for 24 hours or unless the whole system is reinitialized. Within this time frame, if the LPAR is booted, the frozen PE will be presented to the LPAR but ibm,dma-window property could be missing. Today, under these circumstances, the LPAR oopses with NULL pointer dereference, when configuring the PCI bus the PE is attached to. BUG: Kernel NULL pointer dereference on read at 0x000000c8 Faulting instruction address: 0xc0000000001024c0 Oops: Kernel access of bad area, sig: 7 [#1] LE PAGE_SIZE=64K MMU=Radix SMP NR_CPUS=2048 NUMA pSeries Modules linked in: Supported: Yes CPU: 0 PID: 1 Comm: swapper/0 Not tainted 6.4.0-150600.9-default #1 Hardware name: IBM,9043-MRX POWER10 (raw) 0x800200 0xf000006 of:IBM,FW1060.00 (NM1060_023) hv:phyp pSeries NIP: c0000000001024c0 LR: c0000000001024b0 CTR: c000000000102450 REGS: c0000000037db5c0 TRAP: 0300 Not tainted (6.4.0-150600.9-default) MSR: 8000000002009033 <SF,VEC,EE,ME,IR,DR,RI,LE> CR: 28000822 XER: 00000000 CFAR: c00000000010254c DAR: 00000000000000c8 DSISR: 00080000 IRQMASK: 0 ... NIP [c0000000001024c0] pci_dma_bus_setup_pSeriesLP+0x70/0x2a0 LR [c0000000001024b0] pci_dma_bus_setup_pSeriesLP+0x60/0x2a0 Call Trace: pci_dma_bus_setup_pSeriesLP+0x60/0x2a0 (unreliable) pcibios_setup_bus_self+0x1c0/0x370 __of_scan_bus+0x2f8/0x330 pcibios_scan_phb+0x280/0x3d0 pcibios_init+0x88/0x12c do_one_initcall+0x60/0x320 kernel_init_freeable+0x344/0x3e4 kernel_init+0x34/0x1d0 ret_from_kernel_user_thread+0x14/0x1c Уязвимость компонента arch/powerpc/platforms/pseries/iommu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/qeth: Fix kernel panic after setting hsuid Symptom: When the hsuid attribute is set for the first time on an IQD Layer3 device while the corresponding network interface is already UP, the kernel will try to execute a napi function pointer that is NULL. Example: --------------------------------------------------------------------------- [ 2057.572696] illegal operation: 0001 ilc:1 [#1] SMP [ 2057.572702] Modules linked in: af_iucv qeth_l3 zfcp scsi_transport_fc sunrpc nft_fib_inet nft_fib_ipv4 nft_fib_ipv6 nft_fib nft_reject_inet nf_reject_ipv4 nf_reject_ipv6 nft_reject nft_ct nf_tables_set nft_chain_nat nf_nat nf_conntrack nf_defrag_ipv6 nf_defrag_ipv4 ip_set nf_tables libcrc32c nfnetlink ghash_s390 prng xts aes_s390 des_s390 de s_generic sha3_512_s390 sha3_256_s390 sha512_s390 vfio_ccw vfio_mdev mdev vfio_iommu_type1 eadm_sch vfio ext4 mbcache jbd2 qeth_l2 bridge stp llc dasd_eckd_mod qeth dasd_mod qdio ccwgroup pkey zcrypt [ 2057.572739] CPU: 6 PID: 60182 Comm: stress_client Kdump: loaded Not tainted 4.18.0-541.el8.s390x #1 [ 2057.572742] Hardware name: IBM 3931 A01 704 (LPAR) [ 2057.572744] Krnl PSW : 0704f00180000000 0000000000000002 (0x2) [ 2057.572748] R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:3 PM:0 RI:0 EA:3 [ 2057.572751] Krnl GPRS: 0000000000000004 0000000000000000 00000000a3b008d8 0000000000000000 [ 2057.572754] 00000000a3b008d8 cb923a29c779abc5 0000000000000000 00000000814cfd80 [ 2057.572756] 000000000000012c 0000000000000000 00000000a3b008d8 00000000a3b008d8 [ 2057.572758] 00000000bab6d500 00000000814cfd80 0000000091317e46 00000000814cfc68 [ 2057.572762] Krnl Code:#0000000000000000: 0000 illegal >0000000000000002: 0000 illegal 0000000000000004: 0000 illegal 0000000000000006: 0000 illegal 0000000000000008: 0000 illegal 000000000000000a: 0000 illegal 000000000000000c: 0000 illegal 000000000000000e: 0000 illegal [ 2057.572800] Call Trace: [ 2057.572801] ([<00000000ec639700>] 0xec639700) [ 2057.572803] [<00000000913183e2>] net_rx_action+0x2ba/0x398 [ 2057.572809] [<0000000091515f76>] __do_softirq+0x11e/0x3a0 [ 2057.572813] [<0000000090ce160c>] do_softirq_own_stack+0x3c/0x58 [ 2057.572817] ([<0000000090d2cbd6>] do_softirq.part.1+0x56/0x60) [ 2057.572822] [<0000000090d2cc60>] __local_bh_enable_ip+0x80/0x98 [ 2057.572825] [<0000000091314706>] __dev_queue_xmit+0x2be/0xd70 [ 2057.572827] [<000003ff803dd6d6>] afiucv_hs_send+0x24e/0x300 [af_iucv] [ 2057.572830] [<000003ff803dd88a>] iucv_send_ctrl+0x102/0x138 [af_iucv] [ 2057.572833] [<000003ff803de72a>] iucv_sock_connect+0x37a/0x468 [af_iucv] [ 2057.572835] [<00000000912e7e90>] __sys_connect+0xa0/0xd8 [ 2057.572839] [<00000000912e9580>] sys_socketcall+0x228/0x348 [ 2057.572841] [<0000000091514e1a>] system_call+0x2a6/0x2c8 [ 2057.572843] Last Breaking-Event-Address: [ 2057.572844] [<0000000091317e44>] __napi_poll+0x4c/0x1d8 [ 2057.572846] [ 2057.572847] Kernel panic - not syncing: Fatal exception in interrupt ------------------------------------------------------------------------------------------- Analysis: There is one napi structure per out_q: card->qdio.out_qs[i].napi The napi.poll functions are set during qeth_open(). Since commit 1cfef80d4c2b ("s390/qeth: Don't call dev_close/dev_open (DOWN/UP)") qeth_set_offline()/qeth_set_online() no longer call dev_close()/ dev_open(). So if qeth_free_qdio_queues() cleared card->qdio.out_qs[i].napi.poll while the network interface was UP and the card was offline, they are not set again. Reproduction: chzdev -e $devno layer2=0 ip link set dev $network_interface up echo 0 > /sys/bus/ccw ---truncated--- Уязвимость компонентов s390/qeth ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: core: reject skb_copy(_expand) for fraglist GSO skbs SKB_GSO_FRAGLIST skbs must not be linearized, otherwise they become invalid. Return NULL if such an skb is passed to skb_copy or skb_copy_expand, in order to prevent a crash on a potential later call to skb_gso_segment. Уязвимость компонента net/core/skbuff.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: spi: fix null pointer dereference within spi_sync If spi_sync() is called with the non-empty queue and the same spi_message is then reused, the complete callback for the message remains set while the context is cleared, leading to a null pointer dereference when the callback is invoked from spi_finalize_current_message(). With function inlining disabled, the call stack might look like this: _raw_spin_lock_irqsave from complete_with_flags+0x18/0x58 complete_with_flags from spi_complete+0x8/0xc spi_complete from spi_finalize_current_message+0xec/0x184 spi_finalize_current_message from spi_transfer_one_message+0x2a8/0x474 spi_transfer_one_message from __spi_pump_transfer_message+0x104/0x230 __spi_pump_transfer_message from __spi_transfer_message_noqueue+0x30/0xc4 __spi_transfer_message_noqueue from __spi_sync+0x204/0x248 __spi_sync from spi_sync+0x24/0x3c spi_sync from mcp251xfd_regmap_crc_read+0x124/0x28c [mcp251xfd] mcp251xfd_regmap_crc_read [mcp251xfd] from _regmap_raw_read+0xf8/0x154 _regmap_raw_read from _regmap_bus_read+0x44/0x70 _regmap_bus_read from _regmap_read+0x60/0xd8 _regmap_read from regmap_read+0x3c/0x5c regmap_read from mcp251xfd_alloc_can_err_skb+0x1c/0x54 [mcp251xfd] mcp251xfd_alloc_can_err_skb [mcp251xfd] from mcp251xfd_irq+0x194/0xe70 [mcp251xfd] mcp251xfd_irq [mcp251xfd] from irq_thread_fn+0x1c/0x78 irq_thread_fn from irq_thread+0x118/0x1f4 irq_thread from kthread+0xd8/0xf4 kthread from ret_from_fork+0x14/0x28 Fix this by also setting message->complete to NULL when the transfer is complete. Уязвимость функции __spi_sync() в модуле drivers/spi/spi.c драйвера Serial Peripheral Interface (SPI) ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/cio: Ensure the copied buf is NUL terminated Currently, we allocate a lbuf-sized kernel buffer and copy lbuf from userspace to that buffer. Later, we use scanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using scanf. Fix this issue by using memdup_user_nul instead. Уязвимость компонентов s390/cio ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nsh: Restore skb->{protocol,data,mac_header} for outer header in nsh_gso_segment(). syzbot triggered various splats (see [0] and links) by a crafted GSO packet of VIRTIO_NET_HDR_GSO_UDP layering the following protocols: ETH_P_8021AD + ETH_P_NSH + ETH_P_IPV6 + IPPROTO_UDP NSH can encapsulate IPv4, IPv6, Ethernet, NSH, and MPLS. As the inner protocol can be Ethernet, NSH GSO handler, nsh_gso_segment(), calls skb_mac_gso_segment() to invoke inner protocol GSO handlers. nsh_gso_segment() does the following for the original skb before calling skb_mac_gso_segment() 1. reset skb->network_header 2. save the original skb->{mac_heaeder,mac_len} in a local variable 3. pull the NSH header 4. resets skb->mac_header 5. set up skb->mac_len and skb->protocol for the inner protocol. and does the following for the segmented skb 6. set ntohs(ETH_P_NSH) to skb->protocol 7. push the NSH header 8. restore skb->mac_header 9. set skb->mac_header + mac_len to skb->network_header 10. restore skb->mac_len There are two problems in 6-7 and 8-9. (a) After 6 & 7, skb->data points to the NSH header, so the outer header (ETH_P_8021AD in this case) is stripped when skb is sent out of netdev. Also, if NSH is encapsulated by NSH + Ethernet (so NSH-Ethernet-NSH), skb_pull() in the first nsh_gso_segment() will make skb->data point to the middle of the outer NSH or Ethernet header because the Ethernet header is not pulled by the second nsh_gso_segment(). (b) While restoring skb->{mac_header,network_header} in 8 & 9, nsh_gso_segment() does not assume that the data in the linear buffer is shifted. However, udp6_ufo_fragment() could shift the data and change skb->mac_header accordingly as demonstrated by syzbot. If this happens, even the restored skb->mac_header points to the middle of the outer header. It seems nsh_gso_segment() has never worked with outer headers so far. At the end of nsh_gso_segment(), the outer header must be restored for the segmented skb, instead of the NSH header. To do that, let's calculate the outer header position relatively from the inner header and set skb->{data,mac_header,protocol} properly. [0]: BUG: KMSAN: uninit-value in ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:524 [inline] BUG: KMSAN: uninit-value in ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:602 [inline] BUG: KMSAN: uninit-value in ipvlan_queue_xmit+0xf44/0x16b0 drivers/net/ipvlan/ipvlan_core.c:668 ipvlan_process_outbound drivers/net/ipvlan/ipvlan_core.c:524 [inline] ipvlan_xmit_mode_l3 drivers/net/ipvlan/ipvlan_core.c:602 [inline] ipvlan_queue_xmit+0xf44/0x16b0 drivers/net/ipvlan/ipvlan_core.c:668 ipvlan_start_xmit+0x5c/0x1a0 drivers/net/ipvlan/ipvlan_main.c:222 __netdev_start_xmit include/linux/netdevice.h:4989 [inline] netdev_start_xmit include/linux/netdevice.h:5003 [inline] xmit_one net/core/dev.c:3547 [inline] dev_hard_start_xmit+0x244/0xa10 net/core/dev.c:3563 __dev_queue_xmit+0x33ed/0x51c0 net/core/dev.c:4351 dev_queue_xmit include/linux/netdevice.h:3171 [inline] packet_xmit+0x9c/0x6b0 net/packet/af_packet.c:276 packet_snd net/packet/af_packet.c:3081 [inline] packet_sendmsg+0x8aef/0x9f10 net/packet/af_packet.c:3113 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] __sys_sendto+0x735/0xa10 net/socket.c:2191 __do_sys_sendto net/socket.c:2203 [inline] __se_sys_sendto net/socket.c:2199 [inline] __x64_sys_sendto+0x125/0x1c0 net/socket.c:2199 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b Uninit was created at: slab_post_alloc_hook mm/slub.c:3819 [inline] slab_alloc_node mm/slub.c:3860 [inline] __do_kmalloc_node mm/slub.c:3980 [inline] __kmalloc_node_track_caller+0x705/0x1000 mm/slub.c:4001 kmalloc_reserve+0x249/0x4a0 net/core/skbuff.c:582 __ ---truncated--- Уязвимость функции nsh_gso_segment() компонента net/nsh/nsh.c ядра операционной системы Linux связана с использованием неинициализированного ресурса. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bna: ensure the copied buf is NUL terminated Currently, we allocate a nbytes-sized kernel buffer and copy nbytes from userspace to that buffer. Later, we use sscanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using sscanf. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость функций bnad_debugfs_write_regrd() и bnad_debugfs_write_regwr() в модуле drivers/net/ethernet/brocade/bna/bnad_debugfs.c компонента bna ядра операционной системы Linux связана с ошибками чтения за пределами границ буфера памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xdp: use flags field to disambiguate broadcast redirect When redirecting a packet using XDP, the bpf_redirect_map() helper will set up the redirect destination information in struct bpf_redirect_info (using the __bpf_xdp_redirect_map() helper function), and the xdp_do_redirect() function will read this information after the XDP program returns and pass the frame on to the right redirect destination. When using the BPF_F_BROADCAST flag to do multicast redirect to a whole map, __bpf_xdp_redirect_map() sets the 'map' pointer in struct bpf_redirect_info to point to the destination map to be broadcast. And xdp_do_redirect() reacts to the value of this map pointer to decide whether it's dealing with a broadcast or a single-value redirect. However, if the destination map is being destroyed before xdp_do_redirect() is called, the map pointer will be cleared out (by bpf_clear_redirect_map()) without waiting for any XDP programs to stop running. This causes xdp_do_redirect() to think that the redirect was to a single target, but the target pointer is also NULL (since broadcast redirects don't have a single target), so this causes a crash when a NULL pointer is passed to dev_map_enqueue(). To fix this, change xdp_do_redirect() to react directly to the presence of the BPF_F_BROADCAST flag in the 'flags' value in struct bpf_redirect_info to disambiguate between a single-target and a broadcast redirect. And only read the 'map' pointer if the broadcast flag is set, aborting if that has been cleared out in the meantime. This prevents the crash, while keeping the atomic (cmpxchg-based) clearing of the map pointer itself, and without adding any more checks in the non-broadcast fast path. Уязвимость компонента net/core/filter.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf, skmsg: Fix NULL pointer dereference in sk_psock_skb_ingress_enqueue Fix NULL pointer data-races in sk_psock_skb_ingress_enqueue() which syzbot reported [1]. [1] BUG: KCSAN: data-race in sk_psock_drop / sk_psock_skb_ingress_enqueue write to 0xffff88814b3278b8 of 8 bytes by task 10724 on cpu 1: sk_psock_stop_verdict net/core/skmsg.c:1257 [inline] sk_psock_drop+0x13e/0x1f0 net/core/skmsg.c:843 sk_psock_put include/linux/skmsg.h:459 [inline] sock_map_close+0x1a7/0x260 net/core/sock_map.c:1648 unix_release+0x4b/0x80 net/unix/af_unix.c:1048 __sock_release net/socket.c:659 [inline] sock_close+0x68/0x150 net/socket.c:1421 __fput+0x2c1/0x660 fs/file_table.c:422 __fput_sync+0x44/0x60 fs/file_table.c:507 __do_sys_close fs/open.c:1556 [inline] __se_sys_close+0x101/0x1b0 fs/open.c:1541 __x64_sys_close+0x1f/0x30 fs/open.c:1541 do_syscall_64+0xd3/0x1d0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 read to 0xffff88814b3278b8 of 8 bytes by task 10713 on cpu 0: sk_psock_data_ready include/linux/skmsg.h:464 [inline] sk_psock_skb_ingress_enqueue+0x32d/0x390 net/core/skmsg.c:555 sk_psock_skb_ingress_self+0x185/0x1e0 net/core/skmsg.c:606 sk_psock_verdict_apply net/core/skmsg.c:1008 [inline] sk_psock_verdict_recv+0x3e4/0x4a0 net/core/skmsg.c:1202 unix_read_skb net/unix/af_unix.c:2546 [inline] unix_stream_read_skb+0x9e/0xf0 net/unix/af_unix.c:2682 sk_psock_verdict_data_ready+0x77/0x220 net/core/skmsg.c:1223 unix_stream_sendmsg+0x527/0x860 net/unix/af_unix.c:2339 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg+0x140/0x180 net/socket.c:745 ____sys_sendmsg+0x312/0x410 net/socket.c:2584 ___sys_sendmsg net/socket.c:2638 [inline] __sys_sendmsg+0x1e9/0x280 net/socket.c:2667 __do_sys_sendmsg net/socket.c:2676 [inline] __se_sys_sendmsg net/socket.c:2674 [inline] __x64_sys_sendmsg+0x46/0x50 net/socket.c:2674 do_syscall_64+0xd3/0x1d0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 value changed: 0xffffffff83d7feb0 -> 0x0000000000000000 Reported by Kernel Concurrency Sanitizer on: CPU: 0 PID: 10713 Comm: syz-executor.4 Tainted: G W 6.8.0-syzkaller-08951-gfe46a7dd189e #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 Prior to this, commit 4cd12c6065df ("bpf, sockmap: Fix NULL pointer dereference in sk_psock_verdict_data_ready()") fixed one NULL pointer similarly due to no protection of saved_data_ready. Here is another different caller causing the same issue because of the same reason. So we should protect it with sk_callback_lock read lock because the writer side in the sk_psock_drop() uses "write_lock_bh(&sk->sk_callback_lock);". To avoid errors that could happen in future, I move those two pairs of lock into the sk_psock_data_ready(), which is suggested by John Fastabend. Уязвимость функции sk_psock_verdict_data_ready() в модуле net/core/skmsg.c ядра операционной системы Linux связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfs: Handle error of rpc_proc_register() in nfs_net_init(). syzkaller reported a warning [0] triggered while destroying immature netns. rpc_proc_register() was called in init_nfs_fs(), but its error has been ignored since at least the initial commit 1da177e4c3f4 ("Linux-2.6.12-rc2"). Recently, commit d47151b79e32 ("nfs: expose /proc/net/sunrpc/nfs in net namespaces") converted the procfs to per-netns and made the problem more visible. Even when rpc_proc_register() fails, nfs_net_init() could succeed, and thus nfs_net_exit() will be called while destroying the netns. Then, remove_proc_entry() will be called for non-existing proc directory and trigger the warning below. Let's handle the error of rpc_proc_register() properly in nfs_net_init(). [0]: name 'nfs' WARNING: CPU: 1 PID: 1710 at fs/proc/generic.c:711 remove_proc_entry+0x1bb/0x2d0 fs/proc/generic.c:711 Modules linked in: CPU: 1 PID: 1710 Comm: syz-executor.2 Not tainted 6.8.0-12822-gcd51db110a7e #12 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 RIP: 0010:remove_proc_entry+0x1bb/0x2d0 fs/proc/generic.c:711 Code: 41 5d 41 5e c3 e8 85 09 b5 ff 48 c7 c7 88 58 64 86 e8 09 0e 71 02 e8 74 09 b5 ff 4c 89 e6 48 c7 c7 de 1b 80 84 e8 c5 ad 97 ff <0f> 0b eb b1 e8 5c 09 b5 ff 48 c7 c7 88 58 64 86 e8 e0 0d 71 02 eb RSP: 0018:ffffc9000c6d7ce0 EFLAGS: 00010286 RAX: 0000000000000000 RBX: ffff8880422b8b00 RCX: ffffffff8110503c RDX: ffff888030652f00 RSI: ffffffff81105045 RDI: 0000000000000001 RBP: 0000000000000000 R08: 0000000000000001 R09: 0000000000000000 R10: 0000000000000001 R11: ffffffff81bb62cb R12: ffffffff84807ffc R13: ffff88804ad6fcc0 R14: ffffffff84807ffc R15: ffffffff85741ff8 FS: 00007f30cfba8640(0000) GS:ffff88807dd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007ff51afe8000 CR3: 000000005a60a005 CR4: 0000000000770ef0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> rpc_proc_unregister+0x64/0x70 net/sunrpc/stats.c:310 nfs_net_exit+0x1c/0x30 fs/nfs/inode.c:2438 ops_exit_list+0x62/0xb0 net/core/net_namespace.c:170 setup_net+0x46c/0x660 net/core/net_namespace.c:372 copy_net_ns+0x244/0x590 net/core/net_namespace.c:505 create_new_namespaces+0x2ed/0x770 kernel/nsproxy.c:110 unshare_nsproxy_namespaces+0xae/0x160 kernel/nsproxy.c:228 ksys_unshare+0x342/0x760 kernel/fork.c:3322 __do_sys_unshare kernel/fork.c:3393 [inline] __se_sys_unshare kernel/fork.c:3391 [inline] __x64_sys_unshare+0x1f/0x30 kernel/fork.c:3391 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x4f/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x46/0x4e RIP: 0033:0x7f30d0febe5d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d 73 9f 1b 00 f7 d8 64 89 01 48 RSP: 002b:00007f30cfba7cc8 EFLAGS: 00000246 ORIG_RAX: 0000000000000110 RAX: ffffffffffffffda RBX: 00000000004bbf80 RCX: 00007f30d0febe5d RDX: 0000000000000000 RSI: 0000000000000000 RDI: 000000006c020600 RBP: 00000000004bbf80 R08: 0000000000000000 R09: 0000000000000000 R10: 0000000000000000 R11: 0000000000000246 R12: 0000000000000002 R13: 000000000000000b R14: 00007f30d104c530 R15: 0000000000000000 </TASK> Уязвимость функции nfs_net_init() компонента fs/nfs/inode.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: core: delete incorrect free in pinctrl_enable() The "pctldev" struct is allocated in devm_pinctrl_register_and_init(). It's a devm_ managed pointer that is freed by devm_pinctrl_dev_release(), so freeing it in pinctrl_enable() will lead to a double free. The devm_pinctrl_dev_release() function frees the pindescs and destroys the mutex as well. Уязвимость функции pinctrl_enable() компонента drivers/pinctrl/core.c ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: nl80211: don't free NULL coalescing rule If the parsing fails, we can dereference a NULL pointer here. Уязвимость компонента net/wireless/nl80211.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476'), NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Reapply "drm/qxl: simplify qxl_fence_wait" This reverts commit 07ed11afb68d94eadd4ffc082b97c2331307c5ea. Stephen Rostedt reports: "I went to run my tests on my VMs and the tests hung on boot up. Unfortunately, the most I ever got out was: [ 93.607888] Testing event system initcall: OK [ 93.667730] Running tests on all trace events: [ 93.669757] Testing all events: OK [ 95.631064] ------------[ cut here ]------------ Timed out after 60 seconds" and further debugging points to a possible circular locking dependency between the console_owner locking and the worker pool locking. Reverting the commit allows Steve's VM to boot to completion again. [ This may obviously result in the "[TTM] Buffer eviction failed" messages again, which was the reason for that original revert. But at this point this seems preferable to a non-booting system... ] Уязвимость компонентов drm/qxl ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/smc: fix neighbour and rtable leak in smc_ib_find_route() In smc_ib_find_route(), the neighbour found by neigh_lookup() and rtable resolved by ip_route_output_flow() are not released or put before return. It may cause the refcount leak, so fix it. Уязвимость компонентов net/smc ядра операционной системы Linux связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: phonet: fix rtm_phonet_notify() skb allocation fill_route() stores three components in the skb: - struct rtmsg - RTA_DST (u8) - RTA_OIF (u32) Therefore, rtm_phonet_notify() should use NLMSG_ALIGN(sizeof(struct rtmsg)) + nla_total_size(1) + nla_total_size(4) Уязвимость компонента net/phonet/pn_netlink.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: qibfs: fix dentry leak simple_recursive_removal() drops the pinning references to all positives in subtree. For the cases when its argument has been kept alive by the pinning alone that's exactly the right thing to do, but here the argument comes from dcache lookup, that needs to be balanced by explicit dput(). Fucked-up-by: Al Viro <viro@zeniv.linux.org.uk> Уязвимость компонента drivers/infiniband/hw/qib/qib_fs.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: firewire: ohci: mask bus reset interrupts between ISR and bottom half In the FireWire OHCI interrupt handler, if a bus reset interrupt has occurred, mask bus reset interrupts until bus_reset_work has serviced and cleared the interrupt. Normally, we always leave bus reset interrupts masked. We infer the bus reset from the self-ID interrupt that happens shortly thereafter. A scenario where we unmask bus reset interrupts was introduced in 2008 in a007bb857e0b26f5d8b73c2ff90782d9c0972620: If OHCI_PARAM_DEBUG_BUSRESETS (8) is set in the debug parameter bitmask, we will unmask bus reset interrupts so we can log them. irq_handler logs the bus reset interrupt. However, we can't clear the bus reset event flag in irq_handler, because we won't service the event until later. irq_handler exits with the event flag still set. If the corresponding interrupt is still unmasked, the first bus reset will usually freeze the system due to irq_handler being called again each time it exits. This freeze can be reproduced by loading firewire_ohci with "modprobe firewire_ohci debug=-1" (to enable all debugging output). Apparently there are also some cases where bus_reset_work will get called soon enough to clear the event, and operation will continue normally. This freeze was first reported a few months after a007bb85 was committed, but until now it was never fixed. The debug level could safely be set to -1 through sysfs after the module was loaded, but this would be ineffectual in logging bus reset interrupts since they were only unmasked during initialization. irq_handler will now leave the event flag set but mask bus reset interrupts, so irq_handler won't be called again and there will be no freeze. If OHCI_PARAM_DEBUG_BUSRESETS is enabled, bus_reset_work will unmask the interrupt after servicing the event, so future interrupts will be caught as desired. As a side effect to this change, OHCI_PARAM_DEBUG_BUSRESETS can now be enabled through sysfs in addition to during initial module loading. However, when enabled through sysfs, logging of bus reset interrupts will be effective only starting with the second bus reset, after bus_reset_work has executed. Уязвимость компонента drivers/firewire/ohci.c ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: lpfc: Move NPIV's transport unregistration to after resource clean up There are cases after NPIV deletion where the fabric switch still believes the NPIV is logged into the fabric. This occurs when a vport is unregistered before the Remove All DA_ID CT and LOGO ELS are sent to the fabric. Currently fc_remove_host(), which calls dev_loss_tmo for all D_IDs including the fabric D_ID, removes the last ndlp reference and frees the ndlp rport object. This sometimes causes the race condition where the final DA_ID and LOGO are skipped from being sent to the fabric switch. Fix by moving the fc_remove_host() and scsi_remove_host() calls after DA_ID and LOGO are sent. Уязвимость компонента lpfc ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки) в функции lpfc_vport_delete(). Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-459')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: vgic-v2: Check for non-NULL vCPU in vgic_v2_parse_attr() vgic_v2_parse_attr() is responsible for finding the vCPU that matches the user-provided CPUID, which (of course) may not be valid. If the ID is invalid, kvm_get_vcpu_by_id() returns NULL, which isn't handled gracefully. Similar to the GICv3 uaccess flow, check that kvm_get_vcpu_by_id() actually returns something and fail the ioctl if not. Уязвимость компонента vgic-v2 ядра операционной системы Linux связана с некорректной обработкой ошибок в функции kvm_register_vgic_device(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: fix a possible memleak in tipc_buf_append __skb_linearize() doesn't free the skb when it fails, so move '*buf = NULL' after __skb_linearize(), so that the skb can be freed on the err path. Уязвимость функции tipc_buf_append() компонента net/tipc/msg.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: octeontx2-af: avoid off-by-one read from userspace We try to access count + 1 byte from userspace with memdup_user(buffer, count + 1). However, the userspace only provides buffer of count bytes and only these count bytes are verified to be okay to access. To ensure the copied buffer is NUL terminated, we use memdup_user_nul instead. Уязвимость компонента octeontx2-af ядра операционной системы Linux связана с ошибкой смещения на единицу (off-by-one error) в функции rvu_dbg_qsize_write(). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с повышенными привилегиями [NistCWE(cwe='CWE-193')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: pinctrl: devicetree: fix refcount leak in pinctrl_dt_to_map() If we fail to allocate propname buffer, we need to drop the reference count we just took. Because the pinctrl_dt_free_maps() includes the droping operation, here we call it directly. Уязвимость компонента devicetree ядра операционной системы Linux связана с недостаточной защитой служебных данных в функции pinctrl_dt_to_map(). Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/vmwgfx: Fix invalid reads in fence signaled events Correctly set the length of the drm_event to the size of the structure that's actually used. The length of the drm_event was set to the parent structure instead of to the drm_vmw_event_fence which is supposed to be read. drm_read uses the length parameter to copy the event to the user space thus resuling in oob reads. Уязвимость компонентов drm/vmwgfx ядра операционной системы Linux связана с выходом операции за границы буфера в памяти в функции vmw_event_fence_action_create(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: ks8851: Queue RX packets in IRQ handler instead of disabling BHs Currently the driver uses local_bh_disable()/local_bh_enable() in its IRQ handler to avoid triggering net_rx_action() softirq on exit from netif_rx(). The net_rx_action() could trigger this driver .start_xmit callback, which is protected by the same lock as the IRQ handler, so calling the .start_xmit from netif_rx() from the IRQ handler critical section protected by the lock could lead to an attempt to claim the already claimed lock, and a hang. The local_bh_disable()/local_bh_enable() approach works only in case the IRQ handler is protected by a spinlock, but does not work if the IRQ handler is protected by mutex, i.e. this works for KS8851 with Parallel bus interface, but not for KS8851 with SPI bus interface. Remove the BH manipulation and instead of calling netif_rx() inside the IRQ handler code protected by the lock, queue all the received SKBs in the IRQ handler into a queue first, and once the IRQ handler exits the critical section protected by the lock, dequeue all the queued SKBs and push them all into netif_rx(). At this point, it is safe to trigger the net_rx_action() softirq, since the netif_rx() call is outside of the lock that protects the IRQ handler. Уязвимость компонента ks8851 ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/9p: only translate RWX permissions for plain 9P2000 Garbage in plain 9P2000's perm bits is allowed through, which causes it to be able to set (among others) the suid bit. This was presumably not the intent since the unix extended bits are handled explicitly and conditionally on .u. Уязвимость компонентов fs/9p ядра операционной системы Linux связана с неправильно установленными разрешениями в функции p9mode2perm(). Эксплуатация уязвимости может позволить нарушителю читать и манипулировать данными [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: remoteproc: mediatek: Make sure IPI buffer fits in L2TCM The IPI buffer location is read from the firmware that we load to the System Companion Processor, and it's not granted that both the SRAM (L2TCM) size that is defined in the devicetree node is large enough for that, and while this is especially true for multi-core SCP, it's still useful to check on single-core variants as well. Failing to perform this check may make this driver perform R/W operations out of the L2TCM boundary, resulting (at best) in a kernel panic. To fix that, check that the IPI buffer fits, otherwise return a failure and refuse to boot the relevant SCP core (or the SCP at all, if this is single core). Уязвимость функции scp_ipi_init() в модуле drivers/remoteproc/mtk_scp.c драйвера сопроцессоров ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Fix memory leak in tpm2_key_encode() 'scratch' is never freed. Fix this by calling kfree() in the success, and in the error case. Уязвимость функции tpm2_key_encode() в модуле security/keys/trusted-keys/trusted_tpm2.c подсистемы Trusted Platform Module (TPM) ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amd/display: Fix division by zero in setup_dsc_config When slice_height is 0, the division by slice_height in the calculation of the number of slices will cause a division by zero driver crash. This leaves the kernel in a state that requires a reboot. This patch adds a check to avoid the division by zero. The stack trace below is for the 6.8.4 Kernel. I reproduced the issue on a Z16 Gen 2 Lenovo Thinkpad with a Apple Studio Display monitor connected via Thunderbolt. The amdgpu driver crashed with this exception when I rebooted the system with the monitor connected. kernel: ? die (arch/x86/kernel/dumpstack.c:421 arch/x86/kernel/dumpstack.c:434 arch/x86/kernel/dumpstack.c:447) kernel: ? do_trap (arch/x86/kernel/traps.c:113 arch/x86/kernel/traps.c:154) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? do_error_trap (./arch/x86/include/asm/traps.h:58 arch/x86/kernel/traps.c:175) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? exc_divide_error (arch/x86/kernel/traps.c:194 (discriminator 2)) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: ? asm_exc_divide_error (./arch/x86/include/asm/idtentry.h:548) kernel: ? setup_dsc_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1053) amdgpu kernel: dc_dsc_compute_config (drivers/gpu/drm/amd/amdgpu/../display/dc/dsc/dc_dsc.c:1109) amdgpu After applying this patch, the driver no longer crashes when the monitor is connected and the system is rebooted. I believe this is the same issue reported for 3113. Уязвимость функции setup_dsc_config() в модуле drivers/gpu/drm/amd/display/dc/dsc/dc_dsc.c драйвера amdgpu ядра операционной системы Linux связана с отсутствием проверки входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Update unix_sk(sk)->oob_skb under sk_receive_queue lock. Billy Jheng Bing-Jhong reported a race between __unix_gc() and queue_oob(). __unix_gc() tries to garbage-collect close()d inflight sockets, and then if the socket has MSG_OOB in unix_sk(sk)->oob_skb, GC will drop the reference and set NULL to it locklessly. However, the peer socket still can send MSG_OOB message and queue_oob() can update unix_sk(sk)->oob_skb concurrently, leading NULL pointer dereference. [0] To fix the issue, let's update unix_sk(sk)->oob_skb under the sk_receive_queue's lock and take it everywhere we touch oob_skb. Note that we defer kfree_skb() in manage_oob() to silence lockdep false-positive (See [1]). [0]: BUG: kernel NULL pointer dereference, address: 0000000000000008 PF: supervisor write access in kernel mode PF: error_code(0x0002) - not-present page PGD 8000000009f5e067 P4D 8000000009f5e067 PUD 9f5d067 PMD 0 Oops: 0002 [#1] PREEMPT SMP PTI CPU: 3 PID: 50 Comm: kworker/3:1 Not tainted 6.9.0-rc5-00191-gd091e579b864 #110 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS rel-1.16.0-0-gd239552ce722-prebuilt.qemu.org 04/01/2014 Workqueue: events delayed_fput RIP: 0010:skb_dequeue (./include/linux/skbuff.h:2386 ./include/linux/skbuff.h:2402 net/core/skbuff.c:3847) Code: 39 e3 74 3e 8b 43 10 48 89 ef 83 e8 01 89 43 10 49 8b 44 24 08 49 c7 44 24 08 00 00 00 00 49 8b 14 24 49 c7 04 24 00 00 00 00 <48> 89 42 08 48 89 10 e8 e7 c5 42 00 4c 89 e0 5b 5d 41 5c c3 cc cc RSP: 0018:ffffc900001bfd48 EFLAGS: 00000002 RAX: 0000000000000000 RBX: ffff8880088f5ae8 RCX: 00000000361289f9 RDX: 0000000000000000 RSI: 0000000000000206 RDI: ffff8880088f5b00 RBP: ffff8880088f5b00 R08: 0000000000080000 R09: 0000000000000001 R10: 0000000000000003 R11: 0000000000000001 R12: ffff8880056b6a00 R13: ffff8880088f5280 R14: 0000000000000001 R15: ffff8880088f5a80 FS: 0000000000000000(0000) GS:ffff88807dd80000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000008 CR3: 0000000006314000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> unix_release_sock (net/unix/af_unix.c:654) unix_release (net/unix/af_unix.c:1050) __sock_release (net/socket.c:660) sock_close (net/socket.c:1423) __fput (fs/file_table.c:423) delayed_fput (fs/file_table.c:444 (discriminator 3)) process_one_work (kernel/workqueue.c:3259) worker_thread (kernel/workqueue.c:3329 kernel/workqueue.c:3416) kthread (kernel/kthread.c:388) ret_from_fork (arch/x86/kernel/process.c:153) ret_from_fork_asm (arch/x86/entry/entry_64.S:257) </TASK> Modules linked in: CR2: 0000000000000008 Уязвимость функции queue_oob() в модуле net/unix/af_unix.c реализации сокетов AF_UNIX ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) - включить мандатный контроль целостности (МКЦ); - обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - отключить и удалить неиспользуемые учётные записи пользователей; - для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - активировать и настроить профили пользователей для работы в режиме Киоск-2; - запретить установку бита исполнения для всех пользователей, включая администраторов; - запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - активировать регламентный контроль целостности ОС; - активировать режим замкнутой программной среды; - использовать hardened ядро ОС. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: misc: microchip: pci1xxxx: fix double free in the error handling of gp_aux_bus_probe() When auxiliary_device_add() returns error and then calls auxiliary_device_uninit(), callback function gp_auxiliary_device_release() calls ida_free() and kfree(aux_device_wrapper) to free memory. We should't call them again in the error handling path. Fix this by skipping the redundant cleanup functions. Уязвимость функции gp_aux_bus_probe() в модуле drivers/misc/mchp_pci1xxxx/mchp_pci1xxxx_gp.c драйвера Microchip PCI1XXXX ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: taprio: always validate TCA_TAPRIO_ATTR_PRIOMAP If one TCA_TAPRIO_ATTR_PRIOMAP attribute has been provided, taprio_parse_mqprio_opt() must validate it, or userspace can inject arbitrary data to the kernel, the second time taprio_change() is called. First call (with valid attributes) sets dev->num_tc to a non zero value. Second call (with arbitrary mqprio attributes) returns early from taprio_parse_mqprio_opt() and bad things can happen. Уязвимость функции taprio_parse_mqprio_opt() в модуле net/sched/sch_taprio.c подсистемы управления трафиком net/sched ядра операционной системы Linux связана с недостаточной проверкой полученных от пользователя данных. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность и доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KEYS: trusted: Do not use WARN when encode fails When asn1_encode_sequence() fails, WARN is not the correct solution. 1. asn1_encode_sequence() is not an internal function (located in lib/asn1_encode.c). 2. Location is known, which makes the stack trace useless. 3. Results a crash if panic_on_warn is set. It is also noteworthy that the use of WARN is undocumented, and it should be avoided unless there is a carefully considered rationale to use it. Replace WARN with pr_err, and print the return value instead, which is only useful piece of information. Уязвимость функции tpm2_key_encode() в модуле security/keys/trusted-keys/trusted_tpm2.c подсистемы Trusted Platform Module (TPM) ядра операционной системы Linux связана с некорректной обработкой кода возврата функции asn1_encode_sequence(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: dwc3: Wait unconditionally after issuing EndXfer command Currently all controller IP/revisions except DWC3_usb3 >= 310a wait 1ms unconditionally for ENDXFER completion when IOC is not set. This is because DWC_usb3 controller revisions >= 3.10a supports GUCTL2[14: Rst_actbitlater] bit which allows polling CMDACT bit to know whether ENDXFER command is completed. Consider a case where an IN request was queued, and parallelly soft_disconnect was called (due to ffs_epfile_release). This eventually calls stop_active_transfer with IOC cleared, hence send_gadget_ep_cmd() skips waiting for CMDACT cleared during EndXfer. For DWC3 controllers with revisions >= 310a, we don't forcefully wait for 1ms either, and we proceed by unmapping the requests. If ENDXFER didn't complete by this time, it leads to SMMU faults since the controller would still be accessing those requests. Fix this by ensuring ENDXFER completion by adding 1ms delay in __dwc3_stop_active_transfer() unconditionally. Уязвимость функции __dwc3_stop_active_transfer() в модуле drivers/usb/dwc3/gadget.c драйвера DesignWare USB3 ядра операционной системы Linux связана с конкурентным доступом к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fpga: manager: add owner module and take its refcount The current implementation of the fpga manager assumes that the low-level module registers a driver for the parent device and uses its owner pointer to take the module's refcount. This approach is problematic since it can lead to a null pointer dereference while attempting to get the manager if the parent device does not have a driver. To address this problem, add a module owner pointer to the fpga_manager struct and use it to take the module's refcount. Modify the functions for registering the manager to take an additional owner module parameter and rename them to avoid conflicts. Use the old function names for helper macros that automatically set the module that registers the manager as the owner. This ensures compatibility with existing low-level control modules and reduces the chances of registering a manager without setting the owner. Also, update the documentation to keep it consistent with the new interface for registering an fpga manager. Other changes: opportunistically move put_device() from __fpga_mgr_get() to fpga_mgr_get() and of_fpga_mgr_get() to improve code clarity since the manager device is taken in these functions. Уязвимость компонентов fpga-mgr.rst, fpga-mgr.c, fpga-mgr.h ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential kernel bug due to lack of writeback flag waiting Destructive writes to a block device on which nilfs2 is mounted can cause a kernel bug in the folio/page writeback start routine or writeback end routine (__folio_start_writeback in the log below): kernel BUG at mm/page-writeback.c:3070! Oops: invalid opcode: 0000 [#1] PREEMPT SMP KASAN PTI ... RIP: 0010:__folio_start_writeback+0xbaa/0x10e0 Code: 25 ff 0f 00 00 0f 84 18 01 00 00 e8 40 ca c6 ff e9 17 f6 ff ff e8 36 ca c6 ff 4c 89 f7 48 c7 c6 80 c0 12 84 e8 e7 b3 0f 00 90 <0f> 0b e8 1f ca c6 ff 4c 89 f7 48 c7 c6 a0 c6 12 84 e8 d0 b3 0f 00 ... Call Trace: <TASK> nilfs_segctor_do_construct+0x4654/0x69d0 [nilfs2] nilfs_segctor_construct+0x181/0x6b0 [nilfs2] nilfs_segctor_thread+0x548/0x11c0 [nilfs2] kthread+0x2f0/0x390 ret_from_fork+0x4b/0x80 ret_from_fork_asm+0x1a/0x30 </TASK> This is because when the log writer starts a writeback for segment summary blocks or a super root block that use the backing device's page cache, it does not wait for the ongoing folio/page writeback, resulting in an inconsistent writeback state. Fix this issue by waiting for ongoing writebacks when putting folios/pages on the backing device into writeback state. Уязвимость функции nilfs_segctor_prepare_write() в модуле fs/nilfs2/segment.c файловой системы nilfs2 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: fix crash on racing fsync and size-extending write into prealloc We have been seeing crashes on duplicate keys in btrfs_set_item_key_safe(): BTRFS critical (device vdb): slot 4 key (450 108 8192) new key (450 108 8192) ------------[ cut here ]------------ kernel BUG at fs/btrfs/ctree.c:2620! invalid opcode: 0000 [#1] PREEMPT SMP PTI CPU: 0 PID: 3139 Comm: xfs_io Kdump: loaded Not tainted 6.9.0 #6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.3-2.fc40 04/01/2014 RIP: 0010:btrfs_set_item_key_safe+0x11f/0x290 [btrfs] With the following stack trace: #0 btrfs_set_item_key_safe (fs/btrfs/ctree.c:2620:4) #1 btrfs_drop_extents (fs/btrfs/file.c:411:4) #2 log_one_extent (fs/btrfs/tree-log.c:4732:9) #3 btrfs_log_changed_extents (fs/btrfs/tree-log.c:4955:9) #4 btrfs_log_inode (fs/btrfs/tree-log.c:6626:9) #5 btrfs_log_inode_parent (fs/btrfs/tree-log.c:7070:8) #6 btrfs_log_dentry_safe (fs/btrfs/tree-log.c:7171:8) #7 btrfs_sync_file (fs/btrfs/file.c:1933:8) #8 vfs_fsync_range (fs/sync.c:188:9) #9 vfs_fsync (fs/sync.c:202:9) #10 do_fsync (fs/sync.c:212:9) #11 __do_sys_fdatasync (fs/sync.c:225:9) #12 __se_sys_fdatasync (fs/sync.c:223:1) #13 __x64_sys_fdatasync (fs/sync.c:223:1) #14 do_syscall_x64 (arch/x86/entry/common.c:52:14) #15 do_syscall_64 (arch/x86/entry/common.c:83:7) #16 entry_SYSCALL_64+0xaf/0x14c (arch/x86/entry/entry_64.S:121) So we're logging a changed extent from fsync, which is splitting an extent in the log tree. But this split part already exists in the tree, triggering the BUG(). This is the state of the log tree at the time of the crash, dumped with drgn (https://github.com/osandov/drgn/blob/main/contrib/btrfs_tree.py) to get more details than btrfs_print_leaf() gives us: >>> print_extent_buffer(prog.crashed_thread().stack_trace()[0]["eb"]) leaf 33439744 level 0 items 72 generation 9 owner 18446744073709551610 leaf 33439744 flags 0x100000000000000 fs uuid e5bd3946-400c-4223-8923-190ef1f18677 chunk uuid d58cb17e-6d02-494a-829a-18b7d8a399da item 0 key (450 INODE_ITEM 0) itemoff 16123 itemsize 160 generation 7 transid 9 size 8192 nbytes 8473563889606862198 block group 0 mode 100600 links 1 uid 0 gid 0 rdev 0 sequence 204 flags 0x10(PREALLOC) atime 1716417703.220000000 (2024-05-22 15:41:43) ctime 1716417704.983333333 (2024-05-22 15:41:44) mtime 1716417704.983333333 (2024-05-22 15:41:44) otime 17592186044416.000000000 (559444-03-08 01:40:16) item 1 key (450 INODE_REF 256) itemoff 16110 itemsize 13 index 195 namelen 3 name: 193 item 2 key (450 XATTR_ITEM 1640047104) itemoff 16073 itemsize 37 location key (0 UNKNOWN.0 0) type XATTR transid 7 data_len 1 name_len 6 name: user.a data a item 3 key (450 EXTENT_DATA 0) itemoff 16020 itemsize 53 generation 9 type 1 (regular) extent data disk byte 303144960 nr 12288 extent data offset 0 nr 4096 ram 12288 extent compression 0 (none) item 4 key (450 EXTENT_DATA 4096) itemoff 15967 itemsize 53 generation 9 type 2 (prealloc) prealloc data disk byte 303144960 nr 12288 prealloc data offset 4096 nr 8192 item 5 key (450 EXTENT_DATA 8192) itemoff 15914 itemsize 53 generation 9 type 2 (prealloc) prealloc data disk byte 303144960 nr 12288 prealloc data offset 8192 nr 4096 ... So the real problem happened earlier: notice that items 4 (4k-12k) and 5 (8k-12k) overlap. Both are prealloc extents. Item 4 straddles i_size and item 5 starts at i_size. Here is the state of ---truncated--- Уязвимость функции btrfs_set_item_key_safe() ядра операционной системы Linux связана с ошибками синхронизации при использовании общего ресурса («Ситуация гонки»). Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tcp: Fix shift-out-of-bounds in dctcp_update_alpha(). In dctcp_update_alpha(), we use a module parameter dctcp_shift_g as follows: alpha -= min_not_zero(alpha, alpha >> dctcp_shift_g); ... delivered_ce <<= (10 - dctcp_shift_g); It seems syzkaller started fuzzing module parameters and triggered shift-out-of-bounds [0] by setting 100 to dctcp_shift_g: memcpy((void*)0x20000080, "/sys/module/tcp_dctcp/parameters/dctcp_shift_g\000", 47); res = syscall(__NR_openat, /*fd=*/0xffffffffffffff9cul, /*file=*/0x20000080ul, /*flags=*/2ul, /*mode=*/0ul); memcpy((void*)0x20000000, "100\000", 4); syscall(__NR_write, /*fd=*/r[0], /*val=*/0x20000000ul, /*len=*/4ul); Let's limit the max value of dctcp_shift_g by param_set_uint_minmax(). With this patch: # echo 10 > /sys/module/tcp_dctcp/parameters/dctcp_shift_g # cat /sys/module/tcp_dctcp/parameters/dctcp_shift_g 10 # echo 11 > /sys/module/tcp_dctcp/parameters/dctcp_shift_g -bash: echo: write error: Invalid argument [0]: UBSAN: shift-out-of-bounds in net/ipv4/tcp_dctcp.c:143:12 shift exponent 100 is too large for 32-bit type 'u32' (aka 'unsigned int') CPU: 0 PID: 8083 Comm: syz-executor345 Not tainted 6.9.0-05151-g1b294a1f3561 #2 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.13.0-1ubuntu1.1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x201/0x300 lib/dump_stack.c:114 ubsan_epilogue lib/ubsan.c:231 [inline] __ubsan_handle_shift_out_of_bounds+0x346/0x3a0 lib/ubsan.c:468 dctcp_update_alpha+0x540/0x570 net/ipv4/tcp_dctcp.c:143 tcp_in_ack_event net/ipv4/tcp_input.c:3802 [inline] tcp_ack+0x17b1/0x3bc0 net/ipv4/tcp_input.c:3948 tcp_rcv_state_process+0x57a/0x2290 net/ipv4/tcp_input.c:6711 tcp_v4_do_rcv+0x764/0xc40 net/ipv4/tcp_ipv4.c:1937 sk_backlog_rcv include/net/sock.h:1106 [inline] __release_sock+0x20f/0x350 net/core/sock.c:2983 release_sock+0x61/0x1f0 net/core/sock.c:3549 mptcp_subflow_shutdown+0x3d0/0x620 net/mptcp/protocol.c:2907 mptcp_check_send_data_fin+0x225/0x410 net/mptcp/protocol.c:2976 __mptcp_close+0x238/0xad0 net/mptcp/protocol.c:3072 mptcp_close+0x2a/0x1a0 net/mptcp/protocol.c:3127 inet_release+0x190/0x1f0 net/ipv4/af_inet.c:437 __sock_release net/socket.c:659 [inline] sock_close+0xc0/0x240 net/socket.c:1421 __fput+0x41b/0x890 fs/file_table.c:422 task_work_run+0x23b/0x300 kernel/task_work.c:180 exit_task_work include/linux/task_work.h:38 [inline] do_exit+0x9c8/0x2540 kernel/exit.c:878 do_group_exit+0x201/0x2b0 kernel/exit.c:1027 __do_sys_exit_group kernel/exit.c:1038 [inline] __se_sys_exit_group kernel/exit.c:1036 [inline] __x64_sys_exit_group+0x3f/0x40 kernel/exit.c:1036 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xe4/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x67/0x6f RIP: 0033:0x7f6c2b5005b6 Code: Unable to access opcode bytes at 0x7f6c2b50058c. RSP: 002b:00007ffe883eb948 EFLAGS: 00000246 ORIG_RAX: 00000000000000e7 RAX: ffffffffffffffda RBX: 00007f6c2b5862f0 RCX: 00007f6c2b5005b6 RDX: 0000000000000001 RSI: 000000000000003c RDI: 0000000000000001 RBP: 0000000000000001 R08: 00000000000000e7 R09: ffffffffffffffc0 R10: 0000000000000006 R11: 0000000000000246 R12: 00007f6c2b5862f0 R13: 0000000000000001 R14: 0000000000000000 R15: 0000000000000001 </TASK> Уязвимость компонента tcp_dctcp.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nfc: nci: Fix uninit-value in nci_rx_work syzbot reported the following uninit-value access issue [1] nci_rx_work() parses received packet from ndev->rx_q. It should be validated header size, payload size and total packet size before processing the packet. If an invalid packet is detected, it should be silently discarded. Уязвимость функции nci_rx_work() в модуле net/nfc/nci/core.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: hda/cs_dsp_ctl: Use private_free for control cleanup Use the control private_free callback to free the associated data block. This ensures that the memory won't leak, whatever way the control gets destroyed. The original implementation didn't actually remove the ALSA controls in hda_cs_dsp_control_remove(). It only freed the internal tracking structure. This meant it was possible to remove/unload the amp driver while leaving its ALSA controls still present in the soundcard. Obviously attempting to access them could cause segfaults or at least dereferencing stale pointers. Уязвимость компонента sound/pci/hda/hda_cs_dsp_ctl.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/msm/a6xx: Avoid a nullptr dereference when speedbin setting fails Calling a6xx_destroy() before adreno_gpu_init() leads to a null pointer dereference on: msm_gpu_cleanup() : platform_set_drvdata(gpu->pdev, NULL); as gpu->pdev is only assigned in: a6xx_gpu_init() |_ adreno_gpu_init |_ msm_gpu_init() Instead of relying on handwavy null checks down the cleanup chain, explicitly de-allocate the LLC data and free a6xx_gpu instead. Patchwork: https://patchwork.freedesktop.org/patch/588919/ Уязвимость компонента drivers/gpu/drm/msm/adreno/a6xx_gpu.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Encoding problem in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows request URLs with incorrect encoding to be sent to backend services, potentially bypassing authentication via crafted requests. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента modules/proxy/mod_proxy.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=8.1) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 Substitution encoding issue in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows attacker to execute scripts in directories permitted by the configuration but not directly reachable by any URL or source disclosure of scripts meant to only to be executed as CGI. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Some RewriteRules that capture and substitute unsafely will now fail unless rewrite flag "UnsafeAllow3F" is specified. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 Improper escaping of output in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to map URLs to filesystem locations that are permitted to be served by the server but are not intentionally/directly reachable by any URL, resulting in code execution or source code disclosure. Substitutions in server context that use a backreferences or variables as the first segment of the substitution are affected.  Some unsafe RewiteRules will be broken by this change and the rewrite flag "UnsafePrefixStat" can be used to opt back in once ensuring the substitution is appropriately constrained. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность [NistCWE(cwe='CWE-116')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N', score=9.1) Уязвимость связана с модулем mod_rewrite, который позволяет злоумышленнику маппить URL на файловые пути. Если ваш сервер не использует правила перезаписи URL, отключите модуль: ```bash sudo a2dismod rewrite && sudo systemctl restart apache2``` Если отключение модуля невозможно, настройте строгие правила перезаписи и ограничьте доступ к файловой системе. Добавьте/измените следующие директивы: ``` <Directory /> AllowOverride None # Запрет использования .htaccess файлов Require all denied </Directory> <Directory /var/www/html> AllowOverride None # Отключить перезапись в корневом каталоге Options None # Отключить дополнительные функции (например, FollowSymLinks) Require all granted </Directory> ``` Перезагрузите Apache: ```b sudo systemctl restart apache2``` Это предотвратит использование mod_rewrite в критических каталогах. Astra Linux 1.8 apache2 Vulnerability in core of Apache HTTP Server 2.4.59 and earlier are vulnerably to information disclosure, SSRF or local script execution via backend applications whose response headers are malicious or exploitable. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с включением функций из недостоверной контролируемой области. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путём запуска локальных обработчиков через внутреннее перенаправление [NistCWE(cwe='CWE-829')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 apache2 null pointer dereference in mod_proxy in Apache HTTP Server 2.4.59 and earlier allows an attacker to crash the server via a malicious request. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента mod_proxy веб-сервера Apache HTTP Server связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного запроса [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: bridge: xmit: make sure we have at least eth header len bytes syzbot triggered an uninit value[1] error in bridge device's xmit path by sending a short (less than ETH_HLEN bytes) skb. To fix it check if we can actually pull that amount instead of assuming. Tested with dropwatch: drop at: br_dev_xmit+0xb93/0x12d0 [bridge] (0xffffffffc06739b3) origin: software timestamp: Mon May 13 11:31:53 2024 778214037 nsec protocol: 0x88a8 length: 2 original length: 2 drop reason: PKT_TOO_SMALL [1] BUG: KMSAN: uninit-value in br_dev_xmit+0x61d/0x1cb0 net/bridge/br_device.c:65 br_dev_xmit+0x61d/0x1cb0 net/bridge/br_device.c:65 __netdev_start_xmit include/linux/netdevice.h:4903 [inline] netdev_start_xmit include/linux/netdevice.h:4917 [inline] xmit_one net/core/dev.c:3531 [inline] dev_hard_start_xmit+0x247/0xa20 net/core/dev.c:3547 __dev_queue_xmit+0x34db/0x5350 net/core/dev.c:4341 dev_queue_xmit include/linux/netdevice.h:3091 [inline] __bpf_tx_skb net/core/filter.c:2136 [inline] __bpf_redirect_common net/core/filter.c:2180 [inline] __bpf_redirect+0x14a6/0x1620 net/core/filter.c:2187 ____bpf_clone_redirect net/core/filter.c:2460 [inline] bpf_clone_redirect+0x328/0x470 net/core/filter.c:2432 ___bpf_prog_run+0x13fe/0xe0f0 kernel/bpf/core.c:1997 __bpf_prog_run512+0xb5/0xe0 kernel/bpf/core.c:2238 bpf_dispatcher_nop_func include/linux/bpf.h:1234 [inline] __bpf_prog_run include/linux/filter.h:657 [inline] bpf_prog_run include/linux/filter.h:664 [inline] bpf_test_run+0x499/0xc30 net/bpf/test_run.c:425 bpf_prog_test_run_skb+0x14ea/0x1f20 net/bpf/test_run.c:1058 bpf_prog_test_run+0x6b7/0xad0 kernel/bpf/syscall.c:4269 __sys_bpf+0x6aa/0xd90 kernel/bpf/syscall.c:5678 __do_sys_bpf kernel/bpf/syscall.c:5767 [inline] __se_sys_bpf kernel/bpf/syscall.c:5765 [inline] __x64_sys_bpf+0xa0/0xe0 kernel/bpf/syscall.c:5765 x64_sys_call+0x96b/0x3b50 arch/x86/include/generated/asm/syscalls_64.h:322 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcf/0x1e0 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость функции br_dev_xmit() в модуле net/bridge/br_device.c ядра операционной системы Linux связана с использованием неинициализированной переменной. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность и доступность защищаемой информации [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_re: avoid shift undefined behavior in bnxt_qplib_alloc_init_hwq Undefined behavior is triggered when bnxt_qplib_alloc_init_hwq is called with hwq_attr->aux_depth != 0 and hwq_attr->aux_stride == 0. In that case, "roundup_pow_of_two(hwq_attr->aux_stride)" gets called. roundup_pow_of_two is documented as undefined for 0. Fix it in the one caller that had this combination. The undefined behavior was detected by UBSAN: UBSAN: shift-out-of-bounds in ./include/linux/log2.h:57:13 shift exponent 64 is too large for 64-bit type 'long unsigned int' CPU: 24 PID: 1075 Comm: (udev-worker) Not tainted 6.9.0-rc6+ #4 Hardware name: Abacus electric, s.r.o. - servis@abacus.cz Super Server/H12SSW-iN, BIOS 2.7 10/25/2023 Call Trace: <TASK> dump_stack_lvl+0x5d/0x80 ubsan_epilogue+0x5/0x30 __ubsan_handle_shift_out_of_bounds.cold+0x61/0xec __roundup_pow_of_two+0x25/0x35 [bnxt_re] bnxt_qplib_alloc_init_hwq+0xa1/0x470 [bnxt_re] bnxt_qplib_create_qp+0x19e/0x840 [bnxt_re] bnxt_re_create_qp+0x9b1/0xcd0 [bnxt_re] ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 ? __kmalloc+0x1b6/0x4f0 ? create_qp.part.0+0x128/0x1c0 [ib_core] ? __pfx_bnxt_re_create_qp+0x10/0x10 [bnxt_re] create_qp.part.0+0x128/0x1c0 [ib_core] ib_create_qp_kernel+0x50/0xd0 [ib_core] create_mad_qp+0x8e/0xe0 [ib_core] ? __pfx_qp_event_handler+0x10/0x10 [ib_core] ib_mad_init_device+0x2be/0x680 [ib_core] add_client_context+0x10d/0x1a0 [ib_core] enable_device_and_get+0xe0/0x1d0 [ib_core] ib_register_device+0x53c/0x630 [ib_core] ? srso_alias_return_thunk+0x5/0xfbef5 bnxt_re_probe+0xbd8/0xe50 [bnxt_re] ? __pfx_bnxt_re_probe+0x10/0x10 [bnxt_re] auxiliary_bus_probe+0x49/0x80 ? driver_sysfs_add+0x57/0xc0 really_probe+0xde/0x340 ? pm_runtime_barrier+0x54/0x90 ? __pfx___driver_attach+0x10/0x10 __driver_probe_device+0x78/0x110 driver_probe_device+0x1f/0xa0 __driver_attach+0xba/0x1c0 bus_for_each_dev+0x8f/0xe0 bus_add_driver+0x146/0x220 driver_register+0x72/0xd0 __auxiliary_driver_register+0x6e/0xd0 ? __pfx_bnxt_re_mod_init+0x10/0x10 [bnxt_re] bnxt_re_mod_init+0x3e/0xff0 [bnxt_re] ? __pfx_bnxt_re_mod_init+0x10/0x10 [bnxt_re] do_one_initcall+0x5b/0x310 do_init_module+0x90/0x250 init_module_from_file+0x86/0xc0 idempotent_init_module+0x121/0x2b0 __x64_sys_finit_module+0x5e/0xb0 do_syscall_64+0x82/0x160 ? srso_alias_return_thunk+0x5/0xfbef5 ? syscall_exit_to_user_mode_prepare+0x149/0x170 ? srso_alias_return_thunk+0x5/0xfbef5 ? syscall_exit_to_user_mode+0x75/0x230 ? srso_alias_return_thunk+0x5/0xfbef5 ? do_syscall_64+0x8e/0x160 ? srso_alias_return_thunk+0x5/0xfbef5 ? __count_memcg_events+0x69/0x100 ? srso_alias_return_thunk+0x5/0xfbef5 ? count_memcg_events.constprop.0+0x1a/0x30 ? srso_alias_return_thunk+0x5/0xfbef5 ? handle_mm_fault+0x1f0/0x300 ? srso_alias_return_thunk+0x5/0xfbef5 ? do_user_addr_fault+0x34e/0x640 ? srso_alias_return_thunk+0x5/0xfbef5 ? srso_alias_return_thunk+0x5/0xfbef5 entry_SYSCALL_64_after_hwframe+0x76/0x7e RIP: 0033:0x7f4e5132821d Code: ff c3 66 2e 0f 1f 84 00 00 00 00 00 90 f3 0f 1e fa 48 89 f8 48 89 f7 48 89 d6 48 89 ca 4d 89 c2 4d 89 c8 4c 8b 4c 24 08 0f 05 <48> 3d 01 f0 ff ff 73 01 c3 48 8b 0d e3 db 0c 00 f7 d8 64 89 01 48 RSP: 002b:00007ffca9c906a8 EFLAGS: 00000246 ORIG_RAX: 0000000000000139 RAX: ffffffffffffffda RBX: 0000563ec8a8f130 RCX: 00007f4e5132821d RDX: 0000000000000000 RSI: 00007f4e518fa07d RDI: 000000000000003b RBP: 00007ffca9c90760 R08: 00007f4e513f6b20 R09: 00007ffca9c906f0 R10: 0000563ec8a8faa0 R11: 0000000000000246 R12: 00007f4e518fa07d R13: 0000000000020000 R14: 0000563ec8409e90 R15: 0000563ec8a8fa60 </TASK> ---[ end trace ]--- Уязвимость компонента qplib_fp.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: lib/test_hmm.c: handle src_pfns and dst_pfns allocation failure The kcalloc() in dmirror_device_evict_chunk() will return null if the physical memory has run out. As a result, if src_pfns or dst_pfns is dereferenced, the null pointer dereference bug will happen. Moreover, the device is going away. If the kcalloc() fails, the pages mapping a chunk could not be evicted. So add a __GFP_NOFAIL flag in kcalloc(). Finally, as there is no need to have physically contiguous memory, Switch kcalloc() to kvcalloc() in order to avoid failing allocations. Уязвимость компонента test_hmm.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/rxe: Fix seg fault in rxe_comp_queue_pkt In rxe_comp_queue_pkt() an incoming response packet skb is enqueued to the resp_pkts queue and then a decision is made whether to run the completer task inline or schedule it. Finally the skb is dereferenced to bump a 'hw' performance counter. This is wrong because if the completer task is already running in a separate thread it may have already processed the skb and freed it which can cause a seg fault. This has been observed infrequently in testing at high scale. This patch fixes this by changing the order of enqueuing the packet until after the counter is accessed. Уязвимость компонента rxe_comp.c ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю нарушить целостность данных, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: vc4: Fix possible null pointer dereference In vc4_hdmi_audio_init() of_get_address() may return NULL which is later dereferenced. Fix this bug by adding NULL check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента vc4 ядра операционной системы Linux связана с разыменованием нулевого указателя в vc4_hdmi_audio_init(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: atomisp: ssh_css: Fix a null-pointer dereference in load_video_binaries The allocation failure of mycs->yuv_scaler_binary in load_video_binaries() is followed with a dereference of mycs->yuv_scaler_binary after the following call chain: sh_css_pipe_load_binaries() |-> load_video_binaries(mycs->yuv_scaler_binary == NULL) | |-> sh_css_pipe_unload_binaries() |-> unload_video_binaries() In unload_video_binaries(), it calls to ia_css_binary_unload with argument &pipe->pipe_settings.video.yuv_scaler_binary[i], which refers to the same memory slot as mycs->yuv_scaler_binary. Thus, a null-pointer dereference is triggered. Уязвимость компонента ssh_css ядра операционной системы Linux связана с разыменованием нулевого указателя в load_video_binaries. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm: bridge: cdns-mhdp8546: Fix possible null pointer dereference In cdns_mhdp_atomic_enable(), the return value of drm_mode_duplicate() is assigned to mhdp_state->current_mode, and there is a dereference of it in drm_mode_set_name(), which will lead to a NULL pointer dereference on failure of drm_mode_duplicate(). Fix this bug add a check of mhdp_state->current_mode. Уязвимость компонента cdns-mhdp8546 ядра операционной системы Linux связана с разыменованием указателя NULL в функции cdns_mhdp_atomic_enable(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/mediatek: Add 0 size check to mtk_drm_gem_obj Add a check to mtk_drm_gem_init if we attempt to allocate a GEM object of 0 bytes. Currently, no such check exists and the kernel will panic if a userspace application attempts to allocate a 0x0 GBM buffer. Tested by attempting to allocate a 0x0 GBM buffer on an MT8188 and verifying that we now return EINVAL. Уязвимость компонента drivers/gpu/drm/mediatek/mtk_drm_gem.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ASoC: kirkwood: Fix potential NULL dereference In kirkwood_dma_hw_params() mv_mbus_dram_info() returns NULL if CONFIG_PLAT_ORION macro is not defined. Fix this bug by adding NULL check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента kirkwood ядра операционной системы Linux связана с разыменованием указателя NULL в функции kirkwood_dma_hw_params(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: fec: remove .ndo_poll_controller to avoid deadlocks There is a deadlock issue found in sungem driver, please refer to the commit ac0a230f719b ("eth: sungem: remove .ndo_poll_controller to avoid deadlocks"). The root cause of the issue is that netpoll is in atomic context and disable_irq() is called by .ndo_poll_controller interface of sungem driver, however, disable_irq() might sleep. After analyzing the implementation of fec_poll_controller(), the fec driver should have the same issue. Due to the fec driver uses NAPI for TX completions, the .ndo_poll_controller is unnecessary to be implemented in the fec driver, so fec_poll_controller() can be safely removed. Уязвимость компонента fec_main.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix reference count leak issue of net_device There is a reference count leak issue of the object "net_device" in ax25_dev_device_down(). When the ax25 device is shutting down, the ax25_dev_device_down() drops the reference count of net_device one or zero times depending on if we goto unlock_put or not, which will cause memory leak. In order to solve the above issue, decrease the reference count of net_device after dev->ax25_ptr is set to null. Уязвимость функции ax25_dev_device_down() ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Add a timeout to acquire the command queue semaphore Prevent forced completion handling on an entry that has not yet been assigned an index, causing an out of bounds access on idx = -22. Instead of waiting indefinitely for the sem, blocking flow now waits for index to be allocated or a sem acquisition timeout before beginning the timer for FW completion. Kernel log example: mlx5_core 0000:06:00.0: wait_func_handle_exec_timeout:1128:(pid 185911): cmd[-22]: CREATE_UCTX(0xa04) No done completion Уязвимость компонентов cmd.c, driver.h ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: openvswitch: fix overwriting ct original tuple for ICMPv6 OVS_PACKET_CMD_EXECUTE has 3 main attributes: - OVS_PACKET_ATTR_KEY - Packet metadata in a netlink format. - OVS_PACKET_ATTR_PACKET - Binary packet content. - OVS_PACKET_ATTR_ACTIONS - Actions to execute on the packet. OVS_PACKET_ATTR_KEY is parsed first to populate sw_flow_key structure with the metadata like conntrack state, input port, recirculation id, etc. Then the packet itself gets parsed to populate the rest of the keys from the packet headers. Whenever the packet parsing code starts parsing the ICMPv6 header, it first zeroes out fields in the key corresponding to Neighbor Discovery information even if it is not an ND packet. It is an 'ipv6.nd' field. However, the 'ipv6' is a union that shares the space between 'nd' and 'ct_orig' that holds the original tuple conntrack metadata parsed from the OVS_PACKET_ATTR_KEY. ND packets should not normally have conntrack state, so it's fine to share the space, but normal ICMPv6 Echo packets or maybe other types of ICMPv6 can have the state attached and it should not be overwritten. The issue results in all but the last 4 bytes of the destination address being wiped from the original conntrack tuple leading to incorrect packet matching and potentially executing wrong actions in case this packet recirculates within the datapath or goes back to userspace. ND fields should not be accessed in non-ND packets, so not clearing them should be fine. Executing memset() only for actual ND packets to avoid the issue. Initializing the whole thing before parsing is needed because ND packet may not contain all the options. The issue only affects the OVS_PACKET_CMD_EXECUTE path and doesn't affect packets entering OVS datapath from network interfaces, because in this case CT metadata is populated from skb after the packet is already parsed. Уязвимость компонента openvswitch ядра операционной системы Linux связана с недостаточной проверкой входных данных в функции parse_icmpv6(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H', score=10.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedf: Ensure the copied buf is NUL terminated Currently, we allocate a count-sized kernel buffer and copy count from userspace to that buffer. Later, we use kstrtouint on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using kstrtouint. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость компонента qedf ядра операционной системы Linux связана с выходом операции за границы буфера в памяти в функции qedf_dbg_debug_cmd_write(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:H/UI:N/S:U/C:N/I:N/A:H', score=4.4) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: bfa: Ensure the copied buf is NUL terminated Currently, we allocate a nbytes-sized kernel buffer and copy nbytes from userspace to that buffer. Later, we use sscanf on this buffer but we don't ensure that the string is terminated inside the buffer, this can lead to OOB read when using sscanf. Fix this issue by using memdup_user_nul instead of memdup_user. Уязвимость компонента bfa ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: kunit: Fix kthread reference There is a race condition when a kthread finishes after the deadline and before the call to kthread_stop(), which may lead to use after free. Уязвимость функции kunit_try_catch_run() фреймворка KUnit (lib/kunit/try-catch.c) ядра операционной системы Linux связана с повторным использованием памяти после ее освобождения в результате конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: ar5523: enable proper endpoint verification Syzkaller reports [1] hitting a warning about an endpoint in use not having an expected type to it. Fix the issue by checking for the existence of all proper endpoints with their according types intact. Sadly, this patch has not been tested on real hardware. [1] Syzkaller report: ------------[ cut here ]------------ usb 1-1: BOGUS urb xfer, pipe 3 != type 1 WARNING: CPU: 0 PID: 3643 at drivers/usb/core/urb.c:504 usb_submit_urb+0xed6/0x1880 drivers/usb/core/urb.c:504 ... Call Trace: <TASK> ar5523_cmd+0x41b/0x780 drivers/net/wireless/ath/ar5523/ar5523.c:275 ar5523_cmd_read drivers/net/wireless/ath/ar5523/ar5523.c:302 [inline] ar5523_host_available drivers/net/wireless/ath/ar5523/ar5523.c:1376 [inline] ar5523_probe+0x14b0/0x1d10 drivers/net/wireless/ath/ar5523/ar5523.c:1655 usb_probe_interface+0x30f/0x7f0 drivers/usb/core/driver.c:396 call_driver_probe drivers/base/dd.c:560 [inline] really_probe+0x249/0xb90 drivers/base/dd.c:639 __driver_probe_device+0x1df/0x4d0 drivers/base/dd.c:778 driver_probe_device+0x4c/0x1a0 drivers/base/dd.c:808 __device_attach_driver+0x1d4/0x2e0 drivers/base/dd.c:936 bus_for_each_drv+0x163/0x1e0 drivers/base/bus.c:427 __device_attach+0x1e4/0x530 drivers/base/dd.c:1008 bus_probe_device+0x1e8/0x2a0 drivers/base/bus.c:487 device_add+0xbd9/0x1e90 drivers/base/core.c:3517 usb_set_configuration+0x101d/0x1900 drivers/usb/core/message.c:2170 usb_generic_driver_probe+0xbe/0x100 drivers/usb/core/generic.c:238 usb_probe_device+0xd8/0x2c0 drivers/usb/core/driver.c:293 call_driver_probe drivers/base/dd.c:560 [inline] really_probe+0x249/0xb90 drivers/base/dd.c:639 __driver_probe_device+0x1df/0x4d0 drivers/base/dd.c:778 driver_probe_device+0x4c/0x1a0 drivers/base/dd.c:808 __device_attach_driver+0x1d4/0x2e0 drivers/base/dd.c:936 bus_for_each_drv+0x163/0x1e0 drivers/base/bus.c:427 __device_attach+0x1e4/0x530 drivers/base/dd.c:1008 bus_probe_device+0x1e8/0x2a0 drivers/base/bus.c:487 device_add+0xbd9/0x1e90 drivers/base/core.c:3517 usb_new_device.cold+0x685/0x10ad drivers/usb/core/hub.c:2573 hub_port_connect drivers/usb/core/hub.c:5353 [inline] hub_port_connect_change drivers/usb/core/hub.c:5497 [inline] port_event drivers/usb/core/hub.c:5653 [inline] hub_event+0x26cb/0x45d0 drivers/usb/core/hub.c:5735 process_one_work+0x9bf/0x1710 kernel/workqueue.c:2289 worker_thread+0x669/0x1090 kernel/workqueue.c:2436 kthread+0x2e8/0x3a0 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:306 </TASK> Уязвимость компонента drivers/net/wireless/ath/ar5523/ar5523.c ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: carl9170: add a proper sanity check for endpoints Syzkaller reports [1] hitting a warning which is caused by presence of a wrong endpoint type at the URB sumbitting stage. While there was a check for a specific 4th endpoint, since it can switch types between bulk and interrupt, other endpoints are trusted implicitly. Similar warning is triggered in a couple of other syzbot issues [2]. Fix the issue by doing a comprehensive check of all endpoints taking into account difference between high- and full-speed configuration. [1] Syzkaller report: ... WARNING: CPU: 0 PID: 4721 at drivers/usb/core/urb.c:504 usb_submit_urb+0xed6/0x1880 drivers/usb/core/urb.c:504 ... Call Trace: <TASK> carl9170_usb_send_rx_irq_urb+0x273/0x340 drivers/net/wireless/ath/carl9170/usb.c:504 carl9170_usb_init_device drivers/net/wireless/ath/carl9170/usb.c:939 [inline] carl9170_usb_firmware_finish drivers/net/wireless/ath/carl9170/usb.c:999 [inline] carl9170_usb_firmware_step2+0x175/0x240 drivers/net/wireless/ath/carl9170/usb.c:1028 request_firmware_work_func+0x130/0x240 drivers/base/firmware_loader/main.c:1107 process_one_work+0x9bf/0x1710 kernel/workqueue.c:2289 worker_thread+0x669/0x1090 kernel/workqueue.c:2436 kthread+0x2e8/0x3a0 kernel/kthread.c:376 ret_from_fork+0x1f/0x30 arch/x86/entry/entry_64.S:308 </TASK> [2] Related syzkaller crashes: Уязвимость ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi: hns3: Fix out-of-bound access when valid event group The perf tool allows users to create event groups through following cmd [1], but the driver does not check whether the array index is out of bounds when writing data to the event_group array. If the number of events in an event_group is greater than HNS3_PMU_MAX_HW_EVENTS, the memory write overflow of event_group array occurs. Add array index check to fix the possible array out of bounds violation, and return directly when write new events are written to array bounds. There are 9 different events in an event_group. [1] perf stat -e '{pmu/event1/, ... ,pmu/event9/} Уязвимость функции hns3_pmu_validate_event_group() в модуле drivers/perf/hisilicon/hns3_pmu.c ядра операционной системы Linux связана с записью памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi_pcie: Fix out-of-bound access when valid event group The perf tool allows users to create event groups through following cmd [1], but the driver does not check whether the array index is out of bounds when writing data to the event_group array. If the number of events in an event_group is greater than HISI_PCIE_MAX_COUNTERS, the memory write overflow of event_group array occurs. Add array index check to fix the possible array out of bounds violation, and return directly when write new events are written to array bounds. There are 9 different events in an event_group. [1] perf stat -e '{pmu/event1/, ... ,pmu/event9/}' Уязвимость функции hisi_pcie_pmu_validate_event_group() ядра операционной системы Linux вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal/drivers/tsens: Fix null pointer dereference compute_intercept_slope() is called from calibrate_8960() (in tsens-8960.c) as compute_intercept_slope(priv, p1, NULL, ONE_PT_CALIB) which lead to null pointer dereference (if DEBUG or DYNAMIC_DEBUG set). Fix this bug by adding null pointer check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента thermal/drivers/tsens ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: brcmfmac: pcie: handle randbuf allocation failure The kzalloc() in brcmf_pcie_download_fw_nvram() will return null if the physical memory has run out. As a result, if we use get_random_bytes() to generate random bytes in the randbuf, the null pointer dereference bug will happen. In order to prevent allocation failure, this patch adds a separate function using buffer on kernel stack to generate random bytes in the randbuf, which could prevent the kernel stack from overflow. Уязвимость компонента pcie ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: rcu: Fix buffer overflow in print_cpu_stall_info() The rcuc-starvation output from print_cpu_stall_info() might overflow the buffer if there is a huge difference in jiffies difference. The situation might seem improbable, but computers sometimes get very confused about time, which can result in full-sized integers, and, in this case, buffer overflow. Also, the unsigned jiffies difference is printed using %ld, which is normally for signed integers. This is intentional for debugging purposes, but it is not obvious from the code. This commit therefore changes sprintf() to snprintf() and adds a clarifying comment about intention of %ld format. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента rcu ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-120')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ecryptfs: Fix buffer size for tag 66 packet The 'TAG 66 Packet Format' description is missing the cipher code and checksum fields that are packed into the message packet. As a result, the buffer allocated for the packet is 3 bytes too small and write_tag_66_packet() will write up to 3 bytes past the end of the buffer. Fix this by increasing the size of the allocation so the whole packet will always fit in the buffer. This fixes the below kasan slab-out-of-bounds bug: BUG: KASAN: slab-out-of-bounds in ecryptfs_generate_key_packet_set+0x7d6/0xde0 Write of size 1 at addr ffff88800afbb2a5 by task touch/181 CPU: 0 PID: 181 Comm: touch Not tainted 6.6.13-gnu #1 4c9534092be820851bb687b82d1f92a426598dc6 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.16.2/GNU Guix 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0x4c/0x70 print_report+0xc5/0x610 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 ? kasan_complete_mode_report_info+0x44/0x210 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 kasan_report+0xc2/0x110 ? ecryptfs_generate_key_packet_set+0x7d6/0xde0 __asan_store1+0x62/0x80 ecryptfs_generate_key_packet_set+0x7d6/0xde0 ? __pfx_ecryptfs_generate_key_packet_set+0x10/0x10 ? __alloc_pages+0x2e2/0x540 ? __pfx_ovl_open+0x10/0x10 [overlay 30837f11141636a8e1793533a02e6e2e885dad1d] ? dentry_open+0x8f/0xd0 ecryptfs_write_metadata+0x30a/0x550 ? __pfx_ecryptfs_write_metadata+0x10/0x10 ? ecryptfs_get_lower_file+0x6b/0x190 ecryptfs_initialize_file+0x77/0x150 ecryptfs_create+0x1c2/0x2f0 path_openat+0x17cf/0x1ba0 ? __pfx_path_openat+0x10/0x10 do_filp_open+0x15e/0x290 ? __pfx_do_filp_open+0x10/0x10 ? __kasan_check_write+0x18/0x30 ? _raw_spin_lock+0x86/0xf0 ? __pfx__raw_spin_lock+0x10/0x10 ? __kasan_check_write+0x18/0x30 ? alloc_fd+0xf4/0x330 do_sys_openat2+0x122/0x160 ? __pfx_do_sys_openat2+0x10/0x10 __x64_sys_openat+0xef/0x170 ? __pfx___x64_sys_openat+0x10/0x10 do_syscall_64+0x60/0xd0 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 RIP: 0033:0x7f00a703fd67 Code: 25 00 00 41 00 3d 00 00 41 00 74 37 64 8b 04 25 18 00 00 00 85 c0 75 5b 44 89 e2 48 89 ee bf 9c ff ff ff b8 01 01 00 00 0f 05 <48> 3d 00 f0 ff ff 0f 87 85 00 00 00 48 83 c4 68 5d 41 5c c3 0f 1f RSP: 002b:00007ffc088e30b0 EFLAGS: 00000246 ORIG_RAX: 0000000000000101 RAX: ffffffffffffffda RBX: 00007ffc088e3368 RCX: 00007f00a703fd67 RDX: 0000000000000941 RSI: 00007ffc088e48d7 RDI: 00000000ffffff9c RBP: 00007ffc088e48d7 R08: 0000000000000001 R09: 0000000000000000 R10: 00000000000001b6 R11: 0000000000000246 R12: 0000000000000941 R13: 0000000000000000 R14: 00007ffc088e48d7 R15: 00007f00a7180040 </TASK> Allocated by task 181: kasan_save_stack+0x2f/0x60 kasan_set_track+0x29/0x40 kasan_save_alloc_info+0x25/0x40 __kasan_kmalloc+0xc5/0xd0 __kmalloc+0x66/0x160 ecryptfs_generate_key_packet_set+0x6d2/0xde0 ecryptfs_write_metadata+0x30a/0x550 ecryptfs_initialize_file+0x77/0x150 ecryptfs_create+0x1c2/0x2f0 path_openat+0x17cf/0x1ba0 do_filp_open+0x15e/0x290 do_sys_openat2+0x122/0x160 __x64_sys_openat+0xef/0x170 do_syscall_64+0x60/0xd0 entry_SYSCALL_64_after_hwframe+0x6e/0xd8 Уязвимость компонента ecryptfs ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: bcm - Fix pointer arithmetic In spu2_dump_omd() value of ptr is increased by ciph_key_len instead of hash_iv_len which could lead to going beyond the buffer boundaries. Fix this bug by changing ciph_key_len to hash_iv_len. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента crypto ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: epoll: be better about file lifetimes epoll can call out to vfs_poll() with a file pointer that may race with the last 'fput()'. That would make f_count go down to zero, and while the ep->mtx locking means that the resulting file pointer tear-down will be blocked until the poll returns, it means that f_count is already dead, and any use of it won't actually get a reference to the file any more: it's dead regardless. Make sure we have a valid ref on the file pointer before we call down to vfs_poll() from the epoll routines. Уязвимость компонента epoll ядра операционной системы Linux связана с неправильной блокировкой в функции __ep_eventpoll_poll(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix potential hang in nilfs_detach_log_writer() Syzbot has reported a potential hang in nilfs_detach_log_writer() called during nilfs2 unmount. Analysis revealed that this is because nilfs_segctor_sync(), which synchronizes with the log writer thread, can be called after nilfs_segctor_destroy() terminates that thread, as shown in the call trace below: nilfs_detach_log_writer nilfs_segctor_destroy nilfs_segctor_kill_thread --> Shut down log writer thread flush_work nilfs_iput_work_func nilfs_dispose_list iput nilfs_evict_inode nilfs_transaction_commit nilfs_construct_segment (if inode needs sync) nilfs_segctor_sync --> Attempt to synchronize with log writer thread *** DEADLOCK *** Fix this issue by changing nilfs_segctor_sync() so that the log writer thread returns normally without synchronizing after it terminates, and by forcing tasks that are already waiting to complete once after the thread terminates. The skipped inode metadata flushout will then be processed together in the subsequent cleanup work in nilfs_segctor_destroy(). Уязвимость компонента nilfs2 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:L', score=5.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tools/nolibc/stdlib: fix memory error in realloc() Pass user_p_len to memcpy() instead of heap->len to prevent realloc() from copying an extra sizeof(heap) bytes from beyond the allocated region. Уязвимость компонентов tools/nolibc/stdlib ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: r8169: Fix possible ring buffer corruption on fragmented Tx packets. An issue was found on the RTL8125b when transmitting small fragmented packets, whereby invalid entries were inserted into the transmit ring buffer, subsequently leading to calls to dma_unmap_single() with a null address. This was caused by rtl8169_start_xmit() not noticing changes to nr_frags which may occur when small packets are padded (to work around hardware quirks) in rtl8169_tso_csum_v2(). To fix this, postpone inspecting nr_frags until after any padding has been applied. Уязвимость ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: speakup: Fix sizeof() vs ARRAY_SIZE() bug The "buf" pointer is an array of u16 values. This code should be using ARRAY_SIZE() (which is 256) instead of sizeof() (which is 512), otherwise it can the still got out of bounds. Уязвимость компонента speakup ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-129')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ftrace: Fix possible use-after-free issue in ftrace_location() KASAN reports a bug: BUG: KASAN: use-after-free in ftrace_location+0x90/0x120 Read of size 8 at addr ffff888141d40010 by task insmod/424 CPU: 8 PID: 424 Comm: insmod Tainted: G W 6.9.0-rc2+ [...] Call Trace: <TASK> dump_stack_lvl+0x68/0xa0 print_report+0xcf/0x610 kasan_report+0xb5/0xe0 ftrace_location+0x90/0x120 register_kprobe+0x14b/0xa40 kprobe_init+0x2d/0xff0 [kprobe_example] do_one_initcall+0x8f/0x2d0 do_init_module+0x13a/0x3c0 load_module+0x3082/0x33d0 init_module_from_file+0xd2/0x130 __x64_sys_finit_module+0x306/0x440 do_syscall_64+0x68/0x140 entry_SYSCALL_64_after_hwframe+0x71/0x79 The root cause is that, in lookup_rec(), ftrace record of some address is being searched in ftrace pages of some module, but those ftrace pages at the same time is being freed in ftrace_release_mod() as the corresponding module is being deleted: CPU1 | CPU2 register_kprobes() { | delete_module() { check_kprobe_address_safe() { | arch_check_ftrace_location() { | ftrace_location() { | lookup_rec() // USE! | ftrace_release_mod() // Free! To fix this issue: 1. Hold rcu lock as accessing ftrace pages in ftrace_location_range(); 2. Use ftrace_location_range() instead of lookup_rec() in ftrace_location(); 3. Call synchronize_rcu() before freeing any ftrace pages both in ftrace_process_locs()/ftrace_release_mod()/ftrace_free_mem(). Уязвимость функции ftrace_location() компонента kernel/trace/ftrace.c ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netrom: fix possible dead-lock in nr_rt_ioctl() syzbot loves netrom, and found a possible deadlock in nr_rt_ioctl [1] Make sure we always acquire nr_node_list_lock before nr_node_lock(nr_node) [1] WARNING: possible circular locking dependency detected 6.9.0-rc7-syzkaller-02147-g654de42f3fc6 #0 Not tainted ------------------------------------------------------ syz-executor350/5129 is trying to acquire lock: ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_node_lock include/net/netrom.h:152 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:464 [inline] ffff8880186e2070 (&nr_node->node_lock){+...}-{2:2}, at: nr_rt_ioctl+0x1bb/0x1090 net/netrom/nr_route.c:697 but task is already holding lock: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:462 [inline] ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_rt_ioctl+0x10a/0x1090 net/netrom/nr_route.c:697 which lock already depends on the new lock. the existing dependency chain (in reverse order) is: -> #1 (nr_node_list_lock){+...}-{2:2}: lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5754 __raw_spin_lock_bh include/linux/spinlock_api_smp.h:126 [inline] _raw_spin_lock_bh+0x35/0x50 kernel/locking/spinlock.c:178 spin_lock_bh include/linux/spinlock.h:356 [inline] nr_remove_node net/netrom/nr_route.c:299 [inline] nr_del_node+0x4b4/0x820 net/netrom/nr_route.c:355 nr_rt_ioctl+0xa95/0x1090 net/netrom/nr_route.c:683 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f -> #0 (&nr_node->node_lock){+...}-{2:2}: check_prev_add kernel/locking/lockdep.c:3134 [inline] check_prevs_add kernel/locking/lockdep.c:3253 [inline] validate_chain+0x18cb/0x58e0 kernel/locking/lockdep.c:3869 __lock_acquire+0x1346/0x1fd0 kernel/locking/lockdep.c:5137 lock_acquire+0x1ed/0x550 kernel/locking/lockdep.c:5754 __raw_spin_lock_bh include/linux/spinlock_api_smp.h:126 [inline] _raw_spin_lock_bh+0x35/0x50 kernel/locking/spinlock.c:178 spin_lock_bh include/linux/spinlock.h:356 [inline] nr_node_lock include/net/netrom.h:152 [inline] nr_dec_obs net/netrom/nr_route.c:464 [inline] nr_rt_ioctl+0x1bb/0x1090 net/netrom/nr_route.c:697 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f other info that might help us debug this: Possible unsafe locking scenario: CPU0 CPU1 ---- ---- lock(nr_node_list_lock); lock(&nr_node->node_lock); lock(nr_node_list_lock); lock(&nr_node->node_lock); *** DEADLOCK *** 1 lock held by syz-executor350/5129: #0: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: spin_lock_bh include/linux/spinlock.h:356 [inline] #0: ffffffff8f7053b8 (nr_node_list_lock){+...}-{2:2}, at: nr_dec_obs net/netrom/nr_route.c:462 [inline] #0: ffffffff8f70 ---truncated--- Уязвимость компонента sungem ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Modify the print level of CQE error Too much print may lead to a panic in kernel. Change ibdev_err() to ibdev_err_ratelimited(), and change the printing level of cqe dump to debug level. Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/hns: Fix deadlock on SRQ async events. xa_lock for SRQ table may be required in AEQ. Use xa_store_irq()/ xa_erase_irq() to avoid deadlock. Уязвимость компонента RDMA/hns ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: af_unix: Fix data races in unix_release_sock/unix_stream_sendmsg A data-race condition has been identified in af_unix. In one data path, the write function unix_release_sock() atomically writes to sk->sk_shutdown using WRITE_ONCE. However, on the reader side, unix_stream_sendmsg() does not read it atomically. Consequently, this issue is causing the following KCSAN splat to occur: BUG: KCSAN: data-race in unix_release_sock / unix_stream_sendmsg write (marked) to 0xffff88867256ddbb of 1 bytes by task 7270 on cpu 28: unix_release_sock (net/unix/af_unix.c:640) unix_release (net/unix/af_unix.c:1050) sock_close (net/socket.c:659 net/socket.c:1421) __fput (fs/file_table.c:422) __fput_sync (fs/file_table.c:508) __se_sys_close (fs/open.c:1559 fs/open.c:1541) __x64_sys_close (fs/open.c:1541) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) read to 0xffff88867256ddbb of 1 bytes by task 989 on cpu 14: unix_stream_sendmsg (net/unix/af_unix.c:2273) __sock_sendmsg (net/socket.c:730 net/socket.c:745) ____sys_sendmsg (net/socket.c:2584) __sys_sendmmsg (net/socket.c:2638 net/socket.c:2724) __x64_sys_sendmmsg (net/socket.c:2753 net/socket.c:2750 net/socket.c:2750) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) value changed: 0x01 -> 0x03 The line numbers are related to commit dd5a440a31fa ("Linux 6.9-rc7"). Commit e1d09c2c2f57 ("af_unix: Fix data races around sk->sk_shutdown.") addressed a comparable issue in the past regarding sk->sk_shutdown. However, it overlooked resolving this particular data path. This patch only offending unix_stream_sendmsg() function, since the other reads seem to be protected by unix_state_lock() as discussed in Уязвимость функции unix_release_sock/unix_stream_sendmsg компонента af_unix ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: eth: sungem: remove .ndo_poll_controller to avoid deadlocks Erhard reports netpoll warnings from sungem: netpoll_send_skb_on_dev(): eth0 enabled interrupts in poll (gem_start_xmit+0x0/0x398) WARNING: CPU: 1 PID: 1 at net/core/netpoll.c:370 netpoll_send_skb+0x1fc/0x20c gem_poll_controller() disables interrupts, which may sleep. We can't sleep in netpoll, it has interrupts disabled completely. Strangely, gem_poll_controller() doesn't even poll the completions, and instead acts as if an interrupt has fired so it just schedules NAPI and exits. None of this has been necessary for years, since netpoll invokes NAPI directly. Уязвимость компонента sungem.c ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md: fix resync softlockup when bitmap size is less than array size Is is reported that for dm-raid10, lvextend + lvchange --syncaction will trigger following softlockup: kernel:watchdog: BUG: soft lockup - CPU#3 stuck for 26s! [mdX_resync:6976] CPU: 7 PID: 3588 Comm: mdX_resync Kdump: loaded Not tainted 6.9.0-rc4-next-20240419 #1 RIP: 0010:_raw_spin_unlock_irq+0x13/0x30 Call Trace: <TASK> md_bitmap_start_sync+0x6b/0xf0 raid10_sync_request+0x25c/0x1b40 [raid10] md_do_sync+0x64b/0x1020 md_thread+0xa7/0x170 kthread+0xcf/0x100 ret_from_fork+0x30/0x50 ret_from_fork_asm+0x1a/0x30 And the detailed process is as follows: md_do_sync j = mddev->resync_min while (j < max_sectors) sectors = raid10_sync_request(mddev, j, &skipped) if (!md_bitmap_start_sync(..., &sync_blocks)) // md_bitmap_start_sync set sync_blocks to 0 return sync_blocks + sectors_skippe; // sectors = 0; j += sectors; // j never change Root cause is that commit 301867b1c168 ("md/raid10: check slab-out-of-bounds in md_bitmap_get_counter") return early from md_bitmap_get_counter(), without setting returned blocks. Fix this problem by always set returned blocks from md_bitmap_get_counter"(), as it used to be. Noted that this patch just fix the softlockup problem in kernel, the case that bitmap size doesn't match array size still need to be fixed. Уязвимость компонента md ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: jffs2: prevent xattr node from overflowing the eraseblock Add a check to make sure that the requested xattr node size is no larger than the eraseblock minus the cleanmarker. Unlike the usual inode nodes, the xattr nodes aren't split into parts and spread across multiple eraseblocks, which means that a xattr node must not occupy more than one eraseblock. If the requested xattr value is too large, the xattr node can spill onto the next eraseblock, overwriting the nodes and causing errors such as: jffs2: argh. node added in wrong place at 0x0000b050(2) jffs2: nextblock 0x0000a000, expected at 0000b00c jffs2: error: (823) do_verify_xattr_datum: node CRC failed at 0x01e050, read=0xfc892c93, calc=0x000000 jffs2: notice: (823) jffs2_get_inode_nodes: Node header CRC failed at 0x01e00c. {848f,2fc4,0fef511f,59a3d171} jffs2: Node at 0x0000000c with length 0x00001044 would run over the end of the erase block jffs2: Perhaps the file system was created with the wrong erase size? jffs2: jffs2_scan_eraseblock(): Magic bitmask 0x1985 not found at 0x00000010: 0x1044 instead This breaks the filesystem and can lead to KASAN crashes such as: BUG: KASAN: slab-out-of-bounds in jffs2_sum_add_kvec+0x125e/0x15d0 Read of size 4 at addr ffff88802c31e914 by task repro/830 CPU: 0 PID: 830 Comm: repro Not tainted 6.9.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS Arch Linux 1.16.3-1-1 04/01/2014 Call Trace: <TASK> dump_stack_lvl+0xc6/0x120 print_report+0xc4/0x620 ? __virt_addr_valid+0x308/0x5b0 kasan_report+0xc1/0xf0 ? jffs2_sum_add_kvec+0x125e/0x15d0 ? jffs2_sum_add_kvec+0x125e/0x15d0 jffs2_sum_add_kvec+0x125e/0x15d0 jffs2_flash_direct_writev+0xa8/0xd0 jffs2_flash_writev+0x9c9/0xef0 ? __x64_sys_setxattr+0xc4/0x160 ? do_syscall_64+0x69/0x140 ? entry_SYSCALL_64_after_hwframe+0x76/0x7e [...] Found by Linux Verification Center (linuxtesting.org) with Syzkaller. Уязвимость компонента jffs2 ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: Fix deadlocks with kctl removals at disconnection In snd_card_disconnect(), we set card->shutdown flag at the beginning, call callbacks and do sync for card->power_ref_sleep waiters at the end. The callback may delete a kctl element, and this can lead to a deadlock when the device was in the suspended state. Namely: * A process waits for the power up at snd_power_ref_and_wait() in snd_ctl_info() or read/write() inside card->controls_rwsem. * The system gets disconnected meanwhile, and the driver tries to delete a kctl via snd_ctl_remove*(); it tries to take card->controls_rwsem again, but this is already locked by the above. Since the sleeper isn't woken up, this deadlocks. An easy fix is to wake up sleepers before processing the driver disconnect callbacks but right after setting the card->shutdown flag. Then all sleepers will abort immediately, and the code flows again. So, basically this patch moves the wait_event() call at the right timing. While we're at it, just to be sure, call wait_event_all() instead of wait_event(), although we don't use exclusive events on this queue for now. Уязвимость компонента ALSA ядра операционной системы Linux связана с неправильной блокировкой в функции snd_card_disconnect(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ring-buffer: Fix a race between readers and resize checks The reader code in rb_get_reader_page() swaps a new reader page into the ring buffer by doing cmpxchg on old->list.prev->next to point it to the new page. Following that, if the operation is successful, old->list.next->prev gets updated too. This means the underlying doubly-linked list is temporarily inconsistent, page->prev->next or page->next->prev might not be equal back to page for some page in the ring buffer. The resize operation in ring_buffer_resize() can be invoked in parallel. It calls rb_check_pages() which can detect the described inconsistency and stop further tracing: [ 190.271762] ------------[ cut here ]------------ [ 190.271771] WARNING: CPU: 1 PID: 6186 at kernel/trace/ring_buffer.c:1467 rb_check_pages.isra.0+0x6a/0xa0 [ 190.271789] Modules linked in: [...] [ 190.271991] Unloaded tainted modules: intel_uncore_frequency(E):1 skx_edac(E):1 [ 190.272002] CPU: 1 PID: 6186 Comm: cmd.sh Kdump: loaded Tainted: G E 6.9.0-rc6-default #5 158d3e1e6d0b091c34c3b96bfd99a1c58306d79f [ 190.272011] Hardware name: QEMU Standard PC (Q35 + ICH9, 2009), BIOS rel-1.16.0-0-gd239552c-rebuilt.opensuse.org 04/01/2014 [ 190.272015] RIP: 0010:rb_check_pages.isra.0+0x6a/0xa0 [ 190.272023] Code: [...] [ 190.272028] RSP: 0018:ffff9c37463abb70 EFLAGS: 00010206 [ 190.272034] RAX: ffff8eba04b6cb80 RBX: 0000000000000007 RCX: ffff8eba01f13d80 [ 190.272038] RDX: ffff8eba01f130c0 RSI: ffff8eba04b6cd00 RDI: ffff8eba0004c700 [ 190.272042] RBP: ffff8eba0004c700 R08: 0000000000010002 R09: 0000000000000000 [ 190.272045] R10: 00000000ffff7f52 R11: ffff8eba7f600000 R12: ffff8eba0004c720 [ 190.272049] R13: ffff8eba00223a00 R14: 0000000000000008 R15: ffff8eba067a8000 [ 190.272053] FS: 00007f1bd64752c0(0000) GS:ffff8eba7f680000(0000) knlGS:0000000000000000 [ 190.272057] CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 [ 190.272061] CR2: 00007f1bd6662590 CR3: 000000010291e001 CR4: 0000000000370ef0 [ 190.272070] DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 [ 190.272073] DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 [ 190.272077] Call Trace: [ 190.272098] <TASK> [ 190.272189] ring_buffer_resize+0x2ab/0x460 [ 190.272199] __tracing_resize_ring_buffer.part.0+0x23/0xa0 [ 190.272206] tracing_resize_ring_buffer+0x65/0x90 [ 190.272216] tracing_entries_write+0x74/0xc0 [ 190.272225] vfs_write+0xf5/0x420 [ 190.272248] ksys_write+0x67/0xe0 [ 190.272256] do_syscall_64+0x82/0x170 [ 190.272363] entry_SYSCALL_64_after_hwframe+0x76/0x7e [ 190.272373] RIP: 0033:0x7f1bd657d263 [ 190.272381] Code: [...] [ 190.272385] RSP: 002b:00007ffe72b643f8 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 [ 190.272391] RAX: ffffffffffffffda RBX: 0000000000000002 RCX: 00007f1bd657d263 [ 190.272395] RDX: 0000000000000002 RSI: 0000555a6eb538e0 RDI: 0000000000000001 [ 190.272398] RBP: 0000555a6eb538e0 R08: 000000000000000a R09: 0000000000000000 [ 190.272401] R10: 0000555a6eb55190 R11: 0000000000000246 R12: 00007f1bd6662500 [ 190.272404] R13: 0000000000000002 R14: 00007f1bd6667c00 R15: 0000000000000002 [ 190.272412] </TASK> [ 190.272414] ---[ end trace 0000000000000000 ]--- Note that ring_buffer_resize() calls rb_check_pages() only if the parent trace_buffer has recording disabled. Recent commit d78ab792705c ("tracing: Stop current tracer when resizing buffer") causes that it is now always the case which makes it more likely to experience this issue. The window to hit this race is nonetheless very small. To help reproducing it, one can add a delay loop in rb_get_reader_page(): ret = rb_head_page_replace(reader, cpu_buffer->reader_page); if (!ret) goto spin; for (unsigned i = 0; i < 1U << 26; i++) /* inserted delay loop */ __asm__ __volatile__ ("" : : : "memory"); rb_list_head(reader->list.next)->prev = &cpu_buffer->reader_page->list; .. ---truncated--- Уязвимость ядра операционной системы Linux связана с копированием буфера без проверки входных данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix reference count leak issues of ax25_dev The ax25_addr_ax25dev() and ax25_dev_device_down() exist a reference count leak issue of the object "ax25_dev". Memory leak issue in ax25_addr_ax25dev(): The reference count of the object "ax25_dev" can be increased multiple times in ax25_addr_ax25dev(). This will cause a memory leak. Memory leak issues in ax25_dev_device_down(): The reference count of ax25_dev is set to 1 in ax25_dev_device_up() and then increase the reference count when ax25_dev is added to ax25_dev_list. As a result, the reference count of ax25_dev is 2. But when the device is shutting down. The ax25_dev_device_down() drops the reference count once or twice depending on if we goto unlock_put or not, which will cause memory leak. As for the issue of ax25_addr_ax25dev(), it is impossible for one pointer to be on a list twice. So add a break in ax25_addr_ax25dev(). As for the issue of ax25_dev_device_down(), increase the reference count of ax25_dev once in ax25_dev_device_up() and decrease the reference count of ax25_dev after it is removed from the ax25_dev_list. Уязвимость функции ax25_addr_ax25dev() модуля net/ax25/ax25_dev.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/perf: hisi: hns3: Actually use devm_add_action_or_reset() pci_alloc_irq_vectors() allocates an irq vector. When devm_add_action() fails, the irq vector is not freed, which leads to a memory leak. Replace the devm_add_action with devm_add_action_or_reset to ensure the irq vector can be destroyed when it fails. Уязвимость компонента hns3 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: macintosh/via-macii: Fix "BUG: sleeping function called from invalid context" The via-macii ADB driver calls request_irq() after disabling hard interrupts. But disabling interrupts isn't necessary here because the VIA shift register interrupt was masked during VIA1 initialization. Уязвимость ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drivers/virt/acrn: fix PFNMAP PTE checks in acrn_vm_ram_map() Patch series "mm: follow_pte() improvements and acrn follow_pte() fixes". Patch #1 fixes a bunch of issues I spotted in the acrn driver. It compiles, that's all I know. I'll appreciate some review and testing from acrn folks. Patch #2+#3 improve follow_pte(), passing a VMA instead of the MM, adding more sanity checks, and improving the documentation. Gave it a quick test on x86-64 using VM_PAT that ends up using follow_pte(). This patch (of 3): We currently miss handling various cases, resulting in a dangerous follow_pte() (previously follow_pfn()) usage. (1) We're not checking PTE write permissions. Maybe we should simply always require pte_write() like we do for pin_user_pages_fast(FOLL_WRITE)? Hard to tell, so let's check for ACRN_MEM_ACCESS_WRITE for now. (2) We're not rejecting refcounted pages. As we are not using MMU notifiers, messing with refcounted pages is dangerous and can result in use-after-free. Let's make sure to reject them. (3) We are only looking at the first PTE of a bigger range. We only lookup a single PTE, but memmap->len may span a larger area. Let's loop over all involved PTEs and make sure the PFN range is actually contiguous. Reject everything else: it couldn't have worked either way, and rather made use access PFNs we shouldn't be accessing. Уязвимость ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: m68k: Fix spinlock race in kernel thread creation Context switching does take care to retain the correct lock owner across the switch from 'prev' to 'next' tasks. This does rely on interrupts remaining disabled for the entire duration of the switch. This condition is guaranteed for normal process creation and context switching between already running processes, because both 'prev' and 'next' already have interrupts disabled in their saved copies of the status register. The situation is different for newly created kernel threads. The status register is set to PS_S in copy_thread(), which does leave the IPL at 0. Upon restoring the 'next' thread's status register in switch_to() aka resume(), interrupts then become enabled prematurely. resume() then returns via ret_from_kernel_thread() and schedule_tail() where run queue lock is released (see finish_task_switch() and finish_lock_switch()). A timer interrupt calling scheduler_tick() before the lock is released in finish_task_switch() will find the lock already taken, with the current task as lock owner. This causes a spinlock recursion warning as reported by Guenter Roeck. As far as I can ascertain, this race has been opened in commit 533e6903bea0 ("m68k: split ret_from_fork(), simplify kernel_thread()") but I haven't done a detailed study of kernel history so it may well predate that commit. Interrupts cannot be disabled in the saved status register copy for kernel threads (init will complain about interrupts disabled when finally starting user space). Disable interrupts temporarily when switching the tasks' register sets in resume(). Note that a simple oriw 0x700,%sr after restoring sr is not enough here - this leaves enough of a race for the 'spinlock recursion' warning to still be observed. Tested on ARAnyM and qemu (Quadra 800 emulation). Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cpufreq: exit() callback is optional The exit() callback is optional and shouldn't be called without checking a valid pointer first. Also, we must clear freq_table pointer even if the exit() callback isn't present. Уязвимость компонента cpufreq ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ALSA: timer: Set lower bound of start tick time Currently ALSA timer doesn't have the lower limit of the start tick time, and it allows a very small size, e.g. 1 tick with 1ns resolution for hrtimer. Such a situation may lead to an unexpected RCU stall, where the callback repeatedly queuing the expire update, as reported by fuzzer. This patch introduces a sanity check of the timer start tick time, so that the system returns an error when a too small start size is set. As of this patch, the lower limit is hard-coded to 100us, which is small enough but can still work somehow. Уязвимость компонента ALSA ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb-storage: alauda: Check whether the media is initialized The member "uzonesize" of struct alauda_info will remain 0 if alauda_init_media() fails, potentially causing divide errors in alauda_read_data() and alauda_write_lba(). - Add a member "media_initialized" to struct alauda_info. - Change a condition in alauda_check_media() to ensure the first initialization. - Add an error check for the return value of alauda_init_media(). Уязвимость компонента alauda ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: stk1160: fix bounds checking in stk1160_copy_video() The subtract in this condition is reversed. The ->length is the length of the buffer. The ->bytesused is how many bytes we have copied thus far. When the condition is reversed that means the result of the subtraction is always negative but since it's unsigned then the result is a very high positive value. That means the overflow check is never true. Additionally, the ->bytesused doesn't actually work for this purpose because we're not writing to "buf->mem + buf->bytesused". Instead, the math to calculate the destination where we are writing is a bit involved. You calculate the number of full lines already written, multiply by two, skip a line if necessary so that we start on an odd numbered line, and add the offset into the line. To fix this buffer overflow, just take the actual destination where we are writing, if the offset is already out of bounds print an error and return. Otherwise, write up to buf->length bytes. Уязвимость компонента stk1160-video.c ядра операционной системы Linux связана с переполнением буфера на стеке. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fs/ntfs3: Use 64 bit variable to avoid 32 bit overflow For example, in the expression: vbo = 2 * vbo + skip Уязвимость компонента fslog.c ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: stm class: Fix a double free in stm_register_device() The put_device(&stm->dev) call will trigger stm_device_release() which frees "stm" so the vfree(stm) on the next line is a double free. Уязвимость функции stm_register_device() в модуле drivers/hwtracing/stm/core.c драйвера трассировки System Trace Module (STM) ядра операционной системы Linux связана с повторным освобождением ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: usb: gadget: u_audio: Fix race condition use of controls after free during gadget unbind. Hang on to the control IDs instead of pointers since those are correctly handled with locks. Уязвимость компонента u_audio.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vfio/pci: fix potential memory leak in vfio_intx_enable() If vfio_irq_ctx_alloc() failed will lead to 'name' memory leak. Уязвимость компонента vfio_pci_intrs.c ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: max3100: Update uart_driver_registered on driver removal The removal of the last MAX3100 device triggers the removal of the driver. However, code doesn't update the respective global variable and after insmod — rmmod — insmod cycle the kernel oopses: max3100 spi-PRP0001:01: max3100_probe: adding port 0 BUG: kernel NULL pointer dereference, address: 0000000000000408 ... RIP: 0010:serial_core_register_port+0xa0/0x840 ... max3100_probe+0x1b6/0x280 [max3100] spi_probe+0x8d/0xb0 Update the actual state so next time UART driver will be registered again. Hugo also noticed, that the error path in the probe also affected by having the variable set, and not cleared. Instead of clearing it move the assignment after the successfull uart_register_driver() call. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: max3100: Lock port->lock when calling uart_handle_cts_change() uart_handle_cts_change() has to be called with port lock taken, Since we run it in a separate work, the lock may not be taken at the time of running. Make sure that it's taken by explicitly doing that. Without it we got a splat: WARNING: CPU: 0 PID: 10 at drivers/tty/serial/serial_core.c:3491 uart_handle_cts_change+0xa6/0xb0 ... Workqueue: max3100-0 max3100_work [max3100] RIP: 0010:uart_handle_cts_change+0xa6/0xb0 ... max3100_handlerx+0xc5/0x110 [max3100] max3100_work+0x12a/0x340 [max3100] Уязвимость компонента max3100.c ядра операционной системы Linux связана с неправильной блокировкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: soundwire: cadence: fix invalid PDI offset For some reason, we add an offset to the PDI, presumably to skip the PDI0 and PDI1 which are reserved for BPT. This code is however completely wrong and leads to an out-of-bounds access. We were just lucky so far since we used only a couple of PDIs and remained within the PDI array bounds. A Fixes: tag is not provided since there are no known platforms where the out-of-bounds would be accessed, and the initial code had problems as well. A follow-up patch completely removes this useless offset. Уязвимость компонента cadence_master.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: multidev: fix to recognize valid zero block address As reported by Yi Zhang in mailing list [1], kernel warning was catched during zbd/010 test as below: ./check zbd/010 zbd/010 (test gap zone support with F2FS) [failed] runtime ... 3.752s something found in dmesg: [ 4378.146781] run blktests zbd/010 at 2024-02-18 11:31:13 [ 4378.192349] null_blk: module loaded [ 4378.209860] null_blk: disk nullb0 created [ 4378.413285] scsi_debug:sdebug_driver_probe: scsi_debug: trim poll_queues to 0. poll_q/nr_hw = (0/1) [ 4378.422334] scsi host15: scsi_debug: version 0191 [20210520] dev_size_mb=1024, opts=0x0, submit_queues=1, statistics=0 [ 4378.434922] scsi 15:0:0:0: Direct-Access-ZBC Linux scsi_debug 0191 PQ: 0 ANSI: 7 [ 4378.443343] scsi 15:0:0:0: Power-on or device reset occurred [ 4378.449371] sd 15:0:0:0: Attached scsi generic sg5 type 20 [ 4378.449418] sd 15:0:0:0: [sdf] Host-managed zoned block device ... (See '/mnt/tests/gitlab.com/api/v4/projects/19168116/repository/archive.zip/storage/blktests/blk/blktests/results/nodev/zbd/010.dmesg' WARNING: CPU: 22 PID: 44011 at fs/iomap/iter.c:51 CPU: 22 PID: 44011 Comm: fio Not tainted 6.8.0-rc3+ #1 RIP: 0010:iomap_iter+0x32b/0x350 Call Trace: <TASK> __iomap_dio_rw+0x1df/0x830 f2fs_file_read_iter+0x156/0x3d0 [f2fs] aio_read+0x138/0x210 io_submit_one+0x188/0x8c0 __x64_sys_io_submit+0x8c/0x1a0 do_syscall_64+0x86/0x170 entry_SYSCALL_64_after_hwframe+0x6e/0x76 Shinichiro Kawasaki helps to analyse this issue and proposes a potential fixing patch in [2]. Quoted from reply of Shinichiro Kawasaki: "I confirmed that the trigger commit is dbf8e63f48af as Yi reported. I took a look in the commit, but it looks fine to me. So I thought the cause is not in the commit diff. I found the WARN is printed when the f2fs is set up with multiple devices, and read requests are mapped to the very first block of the second device in the direct read path. In this case, f2fs_map_blocks() and f2fs_map_blocks_cached() modify map->m_pblk as the physical block address from each block device. It becomes zero when it is mapped to the first block of the device. However, f2fs_iomap_begin() assumes that map->m_pblk is the physical block address of the whole f2fs, across the all block devices. It compares map->m_pblk against NULL_ADDR == 0, then go into the unexpected branch and sets the invalid iomap->length. The WARN catches the invalid iomap->length. This WARN is printed even for non-zoned block devices, by following steps. - Create two (non-zoned) null_blk devices memory backed with 128MB size each: nullb0 and nullb1. # mkfs.f2fs /dev/nullb0 -c /dev/nullb1 # mount -t f2fs /dev/nullb0 "${mount_dir}" # dd if=/dev/zero of="${mount_dir}/test.dat" bs=1M count=192 # dd if="${mount_dir}/test.dat" of=/dev/null bs=1M count=192 iflag=direct ..." So, the root cause of this issue is: when multi-devices feature is on, f2fs_map_blocks() may return zero blkaddr in non-primary device, which is a verified valid block address, however, f2fs_iomap_begin() treats it as an invalid block address, and then it triggers the warning in iomap framework code. Finally, as discussed, we decide to use a more simple and direct way that checking (map.m_flags & F2FS_MAP_MAPPED) condition instead of (map.m_pblk != NULL_ADDR) to fix this issue. Thanks a lot for the effort of Yi Zhang and Shinichiro Kawasaki on this issue. [1] https://lore.kernel.org/linux-f2fs-devel/CAHj4cs-kfojYC9i0G73PRkYzcxCTex=-vugRFeP40g_URGvnfQ@mail.gmail.com/ [2] https://lore.kernel.org/linux-f2fs-devel/gngdj77k4picagsfdtiaa7gpgnup6fsgwzsltx6milmhegmjff@iax2n4wvrqye/ Уязвимость компонента data.c ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: greybus: lights: check return of get_channel_from_mode If channel for the given node is not found we return null from get_channel_from_mode. Make sure we validate the return pointer before using it in two of the missing places. This was originally reported in [0]: Found by Linux Verification Center (linuxtesting.org) with SVACE. [0] https://lore.kernel.org/all/20240301190425.120605-1-m.lobanov@rosalinux.ru Уязвимость компонента light.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: enic: Validate length of nl attributes in enic_set_vf_port enic_set_vf_port assumes that the nl attribute IFLA_PORT_PROFILE is of length PORT_PROFILE_MAX and that the nl attributes IFLA_PORT_INSTANCE_UUID, IFLA_PORT_HOST_UUID are of length PORT_UUID_MAX. These attributes are validated (in the function do_setlink in rtnetlink.c) using the nla_policy ifla_port_policy. The policy defines IFLA_PORT_PROFILE as NLA_STRING, IFLA_PORT_INSTANCE_UUID as NLA_BINARY and IFLA_PORT_HOST_UUID as NLA_STRING. That means that the length validation using the policy is for the max size of the attributes and not on exact size so the length of these attributes might be less than the sizes that enic_set_vf_port expects. This might cause an out of bands read access in the memcpys of the data of these attributes in enic_set_vf_port. Уязвимость компонента enic_main.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-1284')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: s390/ap: Fix crash in AP internal function modify_bitmap() A system crash like this Failing address: 200000cb7df6f000 TEID: 200000cb7df6f403 Fault in home space mode while using kernel ASCE. AS:00000002d71bc007 R3:00000003fe5b8007 S:000000011a446000 P:000000015660c13d Oops: 0038 ilc:3 [#1] PREEMPT SMP Modules linked in: mlx5_ib ... CPU: 8 PID: 7556 Comm: bash Not tainted 6.9.0-rc7 #8 Hardware name: IBM 3931 A01 704 (LPAR) Krnl PSW : 0704e00180000000 0000014b75e7b606 (ap_parse_bitmap_str+0x10e/0x1f8) R:0 T:1 IO:1 EX:1 Key:0 M:1 W:0 P:0 AS:3 CC:2 PM:0 RI:0 EA:3 Krnl GPRS: 0000000000000001 ffffffffffffffc0 0000000000000001 00000048f96b75d3 000000cb00000100 ffffffffffffffff ffffffffffffffff 000000cb7df6fce0 000000cb7df6fce0 00000000ffffffff 000000000000002b 00000048ffffffff 000003ff9b2dbc80 200000cb7df6fcd8 0000014bffffffc0 000000cb7df6fbc8 Krnl Code: 0000014b75e7b5fc: a7840047 brc 8,0000014b75e7b68a 0000014b75e7b600: 18b2 lr %r11,%r2 #0000014b75e7b602: a7f4000a brc 15,0000014b75e7b616 >0000014b75e7b606: eb22d00000e6 laog %r2,%r2,0(%r13) 0000014b75e7b60c: a7680001 lhi %r6,1 0000014b75e7b610: 187b lr %r7,%r11 0000014b75e7b612: 84960021 brxh %r9,%r6,0000014b75e7b654 0000014b75e7b616: 18e9 lr %r14,%r9 Call Trace: [<0000014b75e7b606>] ap_parse_bitmap_str+0x10e/0x1f8 ([<0000014b75e7b5dc>] ap_parse_bitmap_str+0xe4/0x1f8) [<0000014b75e7b758>] apmask_store+0x68/0x140 [<0000014b75679196>] kernfs_fop_write_iter+0x14e/0x1e8 [<0000014b75598524>] vfs_write+0x1b4/0x448 [<0000014b7559894c>] ksys_write+0x74/0x100 [<0000014b7618a440>] __do_syscall+0x268/0x328 [<0000014b761a3558>] system_call+0x70/0x98 INFO: lockdep is turned off. Last Breaking-Event-Address: [<0000014b75e7b636>] ap_parse_bitmap_str+0x13e/0x1f8 Kernel panic - not syncing: Fatal exception: panic_on_oops occured when /sys/bus/ap/a[pq]mask was updated with a relative mask value (like +0x10-0x12,+60,-90) with one of the numeric values exceeding INT_MAX. The fix is simple: use unsigned long values for the internal variables. The correct checks are already in place in the function but a simple int for the internal variables was used with the possibility to overflow. Уязвимость компонента s390 ядра операционной системы Linux связана с целочисленным переполнением. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-190')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Allow delete from sockmap/sockhash only if update is allowed We have seen an influx of syzkaller reports where a BPF program attached to a tracepoint triggers a locking rule violation by performing a map_delete on a sockmap/sockhash. We don't intend to support this artificial use scenario. Extend the existing verifier allowed-program-type check for updating sockmap/sockhash to also cover deleting from a map. From now on only BPF programs which were previously allowed to update sockmap/sockhash can delete from these map types. Уязвимость функции may_update_sockmap() в модуле kernel/bpf/verifier.c подсистемы BPF ядра операционной системы Linux связана с недостаточной проверкой полномочий. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на целостность защищаемой информации [] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:H/A:N', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: dma-buf/sw-sync: don't enable IRQ from sync_print_obj() Since commit a6aa8fca4d79 ("dma-buf/sw-sync: Reduce irqsave/irqrestore from known context") by error replaced spin_unlock_irqrestore() with spin_unlock_irq() for both sync_debugfs_show() and sync_print_obj() despite sync_print_obj() is called from sync_debugfs_show(), lockdep complains inconsistent lock state warning. Use plain spin_{lock,unlock}() for sync_print_obj(), for sync_debugfs_show() is already using spin_{lock,unlock}_irq(). Уязвимость функции sync_print_obj() компонента dma-buf ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: fix mb_cache_entry's e_refcnt leak in ext4_xattr_block_cache_find() Syzbot reports a warning as follows: ============================================ WARNING: CPU: 0 PID: 5075 at fs/mbcache.c:419 mb_cache_destroy+0x224/0x290 Modules linked in: CPU: 0 PID: 5075 Comm: syz-executor199 Not tainted 6.9.0-rc6-gb947cc5bf6d7 RIP: 0010:mb_cache_destroy+0x224/0x290 fs/mbcache.c:419 Call Trace: <TASK> ext4_put_super+0x6d4/0xcd0 fs/ext4/super.c:1375 generic_shutdown_super+0x136/0x2d0 fs/super.c:641 kill_block_super+0x44/0x90 fs/super.c:1675 ext4_kill_sb+0x68/0xa0 fs/ext4/super.c:7327 [...] ============================================ This is because when finding an entry in ext4_xattr_block_cache_find(), if ext4_sb_bread() returns -ENOMEM, the ce's e_refcnt, which has already grown in the __entry_find(), won't be put away, and eventually trigger the above issue in mb_cache_destroy() due to reference count leakage. So call mb_cache_entry_put() on the -ENOMEM error branch as a quick fix. Уязвимость компонента ext4 ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: t7xx: Fix FSM command timeout issue When driver processes the internal state change command, it use an asynchronous thread to process the command operation. If the main thread detects that the task has timed out, the asynchronous thread will panic when executing the completion notification because the main thread completion object has been released. BUG: unable to handle page fault for address: fffffffffffffff8 PGD 1f283a067 P4D 1f283a067 PUD 1f283c067 PMD 0 Oops: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:complete_all+0x3e/0xa0 [...] Call Trace: <TASK> ? __die_body+0x68/0xb0 ? page_fault_oops+0x379/0x3e0 ? exc_page_fault+0x69/0xa0 ? asm_exc_page_fault+0x22/0x30 ? complete_all+0x3e/0xa0 fsm_main_thread+0xa3/0x9c0 [mtk_t7xx (HASH:1400 5)] ? __pfx_autoremove_wake_function+0x10/0x10 kthread+0xd8/0x110 ? __pfx_fsm_main_thread+0x10/0x10 [mtk_t7xx (HASH:1400 5)] ? __pfx_kthread+0x10/0x10 ret_from_fork+0x38/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1b/0x30 </TASK> [...] CR2: fffffffffffffff8 ---[ end trace 0000000000000000 ]--- Use the reference counter to ensure safe release as Sergey suggests: https://lore.kernel.org/all/da90f64c-260a-4329-87bf-1f9ff20a5951@gmail.com/ Уязвимость компонентов t7xx_state_monitor.c, t7xx_state_monitor.h ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: um: Add winch to winch_handlers before registering winch IRQ Registering a winch IRQ is racy, an interrupt may occur before the winch is added to the winch_handlers list. If that happens, register_winch_irq() adds to that list a winch that is scheduled to be (or has already been) freed, causing a panic later in winch_cleanup(). Avoid the race by adding the winch to the winch_handlers list before registering the IRQ, and rolling back if um_request_irq() fails. Уязвимость ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/memory-failure: fix handling of dissolved but not taken off from buddy pages When I did memory failure tests recently, below panic occurs: page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x8cee00 flags: 0x6fffe0000000000(node=1|zone=2|lastcpupid=0x7fff) raw: 06fffe0000000000 dead000000000100 dead000000000122 0000000000000000 raw: 0000000000000000 0000000000000009 00000000ffffffff 0000000000000000 page dumped because: VM_BUG_ON_PAGE(!PageBuddy(page)) ------------[ cut here ]------------ kernel BUG at include/linux/page-flags.h:1009! invalid opcode: 0000 [#1] PREEMPT SMP NOPTI RIP: 0010:__del_page_from_free_list+0x151/0x180 RSP: 0018:ffffa49c90437998 EFLAGS: 00000046 RAX: 0000000000000035 RBX: 0000000000000009 RCX: ffff8dd8dfd1c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff8dd8dfd1c9c0 RBP: ffffd901233b8000 R08: ffffffffab5511f8 R09: 0000000000008c69 R10: 0000000000003c15 R11: ffffffffab5511f8 R12: ffff8dd8fffc0c80 R13: 0000000000000001 R14: ffff8dd8fffc0c80 R15: 0000000000000009 FS: 00007ff916304740(0000) GS:ffff8dd8dfd00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055eae50124c8 CR3: 00000008479e0000 CR4: 00000000000006f0 Call Trace: <TASK> __rmqueue_pcplist+0x23b/0x520 get_page_from_freelist+0x26b/0xe40 __alloc_pages_noprof+0x113/0x1120 __folio_alloc_noprof+0x11/0xb0 alloc_buddy_hugetlb_folio.isra.0+0x5a/0x130 __alloc_fresh_hugetlb_folio+0xe7/0x140 alloc_pool_huge_folio+0x68/0x100 set_max_huge_pages+0x13d/0x340 hugetlb_sysctl_handler_common+0xe8/0x110 proc_sys_call_handler+0x194/0x280 vfs_write+0x387/0x550 ksys_write+0x64/0xe0 do_syscall_64+0xc2/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7ff916114887 RSP: 002b:00007ffec8a2fd78 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 000055eae500e350 RCX: 00007ff916114887 RDX: 0000000000000004 RSI: 000055eae500e390 RDI: 0000000000000003 RBP: 000055eae50104c0 R08: 0000000000000000 R09: 000055eae50104c0 R10: 0000000000000077 R11: 0000000000000246 R12: 0000000000000004 R13: 0000000000000004 R14: 00007ff916216b80 R15: 00007ff916216a00 </TASK> Modules linked in: mce_inject hwpoison_inject ---[ end trace 0000000000000000 ]--- And before the panic, there had an warning about bad page state: BUG: Bad page state in process page-types pfn:8cee00 page: refcount:0 mapcount:0 mapping:0000000000000000 index:0x0 pfn:0x8cee00 flags: 0x6fffe0000000000(node=1|zone=2|lastcpupid=0x7fff) page_type: 0xffffff7f(buddy) raw: 06fffe0000000000 ffffd901241c0008 ffffd901240f8008 0000000000000000 raw: 0000000000000000 0000000000000009 00000000ffffff7f 0000000000000000 page dumped because: nonzero mapcount Modules linked in: mce_inject hwpoison_inject CPU: 8 PID: 154211 Comm: page-types Not tainted 6.9.0-rc4-00499-g5544ec3178e2-dirty #22 Call Trace: <TASK> dump_stack_lvl+0x83/0xa0 bad_page+0x63/0xf0 free_unref_page+0x36e/0x5c0 unpoison_memory+0x50b/0x630 simple_attr_write_xsigned.constprop.0.isra.0+0xb3/0x110 debugfs_attr_write+0x42/0x60 full_proxy_write+0x5b/0x80 vfs_write+0xcd/0x550 ksys_write+0x64/0xe0 do_syscall_64+0xc2/0x1d0 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f189a514887 RSP: 002b:00007ffdcd899718 EFLAGS: 00000246 ORIG_RAX: 0000000000000001 RAX: ffffffffffffffda RBX: 0000000000000000 RCX: 00007f189a514887 RDX: 0000000000000009 RSI: 00007ffdcd899730 RDI: 0000000000000003 RBP: 00007ffdcd8997a0 R08: 0000000000000000 R09: 00007ffdcd8994b2 R10: 0000000000000000 R11: 0000000000000246 R12: 00007ffdcda199a8 R13: 0000000000404af1 R14: 000000000040ad78 R15: 00007f189a7a5040 </TASK> The root cause should be the below race: memory_failure try_memory_failure_hugetlb me_huge_page __page_handle_poison dissolve_free_hugetlb_folio drain_all_pages -- Buddy page can be isolated e.g. for compaction. take_page_off_buddy -- Failed as page is not in the ---truncated--- Уязвимость функции me_huge_page() модуля mm/memory-failure.c ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/9p: fix uninit-value in p9_client_rpc() Syzbot with the help of KMSAN reported the following error: BUG: KMSAN: uninit-value in trace_9p_client_res include/trace/events/9p.h:146 [inline] BUG: KMSAN: uninit-value in p9_client_rpc+0x1314/0x1340 net/9p/client.c:754 trace_9p_client_res include/trace/events/9p.h:146 [inline] p9_client_rpc+0x1314/0x1340 net/9p/client.c:754 p9_client_create+0x1551/0x1ff0 net/9p/client.c:1031 v9fs_session_init+0x1b9/0x28e0 fs/9p/v9fs.c:410 v9fs_mount+0xe2/0x12b0 fs/9p/vfs_super.c:122 legacy_get_tree+0x114/0x290 fs/fs_context.c:662 vfs_get_tree+0xa7/0x570 fs/super.c:1797 do_new_mount+0x71f/0x15e0 fs/namespace.c:3352 path_mount+0x742/0x1f20 fs/namespace.c:3679 do_mount fs/namespace.c:3692 [inline] __do_sys_mount fs/namespace.c:3898 [inline] __se_sys_mount+0x725/0x810 fs/namespace.c:3875 __x64_sys_mount+0xe4/0x150 fs/namespace.c:3875 do_syscall_64+0xd5/0x1f0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 Uninit was created at: __alloc_pages+0x9d6/0xe70 mm/page_alloc.c:4598 __alloc_pages_node include/linux/gfp.h:238 [inline] alloc_pages_node include/linux/gfp.h:261 [inline] alloc_slab_page mm/slub.c:2175 [inline] allocate_slab mm/slub.c:2338 [inline] new_slab+0x2de/0x1400 mm/slub.c:2391 ___slab_alloc+0x1184/0x33d0 mm/slub.c:3525 __slab_alloc mm/slub.c:3610 [inline] __slab_alloc_node mm/slub.c:3663 [inline] slab_alloc_node mm/slub.c:3835 [inline] kmem_cache_alloc+0x6d3/0xbe0 mm/slub.c:3852 p9_tag_alloc net/9p/client.c:278 [inline] p9_client_prepare_req+0x20a/0x1770 net/9p/client.c:641 p9_client_rpc+0x27e/0x1340 net/9p/client.c:688 p9_client_create+0x1551/0x1ff0 net/9p/client.c:1031 v9fs_session_init+0x1b9/0x28e0 fs/9p/v9fs.c:410 v9fs_mount+0xe2/0x12b0 fs/9p/vfs_super.c:122 legacy_get_tree+0x114/0x290 fs/fs_context.c:662 vfs_get_tree+0xa7/0x570 fs/super.c:1797 do_new_mount+0x71f/0x15e0 fs/namespace.c:3352 path_mount+0x742/0x1f20 fs/namespace.c:3679 do_mount fs/namespace.c:3692 [inline] __do_sys_mount fs/namespace.c:3898 [inline] __se_sys_mount+0x725/0x810 fs/namespace.c:3875 __x64_sys_mount+0xe4/0x150 fs/namespace.c:3875 do_syscall_64+0xd5/0x1f0 entry_SYSCALL_64_after_hwframe+0x6d/0x75 If p9_check_errors() fails early in p9_client_rpc(), req->rc.tag will not be properly initialized. However, trace_9p_client_res() ends up trying to print it out anyway before p9_client_rpc() finishes. Fix this issue by assigning default values to p9_fcall fields such as 'tag' and (just in case KMSAN unearths something new) 'id' during the tag allocation stage. Уязвимость компонента net/9p ядра операционной системы Linux связана с ошибками инициализации памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-665')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring: check for non-NULL file pointer in io_file_can_poll() In earlier kernels, it was possible to trigger a NULL pointer dereference off the forced async preparation path, if no file had been assigned. The trace leading to that looks as follows: BUG: kernel NULL pointer dereference, address: 00000000000000b0 PGD 0 P4D 0 Oops: 0000 [#1] PREEMPT SMP CPU: 67 PID: 1633 Comm: buf-ring-invali Not tainted 6.8.0-rc3+ #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS unknown 2/2/2022 RIP: 0010:io_buffer_select+0xc3/0x210 Code: 00 00 48 39 d1 0f 82 ae 00 00 00 48 81 4b 48 00 00 01 00 48 89 73 70 0f b7 50 0c 66 89 53 42 85 ed 0f 85 d2 00 00 00 48 8b 13 <48> 8b 92 b0 00 00 00 48 83 7a 40 00 0f 84 21 01 00 00 4c 8b 20 5b RSP: 0018:ffffb7bec38c7d88 EFLAGS: 00010246 RAX: ffff97af2be61000 RBX: ffff97af234f1700 RCX: 0000000000000040 RDX: 0000000000000000 RSI: ffff97aecfb04820 RDI: ffff97af234f1700 RBP: 0000000000000000 R08: 0000000000200030 R09: 0000000000000020 R10: ffffb7bec38c7dc8 R11: 000000000000c000 R12: ffffb7bec38c7db8 R13: ffff97aecfb05800 R14: ffff97aecfb05800 R15: ffff97af2be5e000 FS: 00007f852f74b740(0000) GS:ffff97b1eeec0000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00000000000000b0 CR3: 000000016deab005 CR4: 0000000000370ef0 Call Trace: <TASK> ? __die+0x1f/0x60 ? page_fault_oops+0x14d/0x420 ? do_user_addr_fault+0x61/0x6a0 ? exc_page_fault+0x6c/0x150 ? asm_exc_page_fault+0x22/0x30 ? io_buffer_select+0xc3/0x210 __io_import_iovec+0xb5/0x120 io_readv_prep_async+0x36/0x70 io_queue_sqe_fallback+0x20/0x260 io_submit_sqes+0x314/0x630 __do_sys_io_uring_enter+0x339/0xbc0 ? __do_sys_io_uring_register+0x11b/0xc50 ? vm_mmap_pgoff+0xce/0x160 do_syscall_64+0x5f/0x180 entry_SYSCALL_64_after_hwframe+0x46/0x4e RIP: 0033:0x55e0a110a67e Code: ba cc 00 00 00 45 31 c0 44 0f b6 92 d0 00 00 00 31 d2 41 b9 08 00 00 00 41 83 e2 01 41 c1 e2 04 41 09 c2 b8 aa 01 00 00 0f 05 <c3> 90 89 30 eb a9 0f 1f 40 00 48 8b 42 20 8b 00 a8 06 75 af 85 f6 because the request is marked forced ASYNC and has a bad file fd, and hence takes the forced async prep path. Current kernels with the request async prep cleaned up can no longer hit this issue, but for ease of backporting, let's add this safety check in here too as it really doesn't hurt. For both cases, this will inevitably end with a CQE posted with -EBADF. Уязвимость компонента io_uring ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: thermal/drivers/qcom/lmh: Check for SCM availability at probe Up until now, the necessary scm availability check has not been performed, leading to possible null pointer dereferences (which did happen for me on RB1). Fix that. Уязвимость ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: fix to do sanity check on i_xattr_nid in sanity_check_inode() syzbot reports a kernel bug as below: F2FS-fs (loop0): Mounted with checkpoint version = 48b305e4 ================================================================== BUG: KASAN: slab-out-of-bounds in f2fs_test_bit fs/f2fs/f2fs.h:2933 [inline] BUG: KASAN: slab-out-of-bounds in current_nat_addr fs/f2fs/node.h:213 [inline] BUG: KASAN: slab-out-of-bounds in f2fs_get_node_info+0xece/0x1200 fs/f2fs/node.c:600 Read of size 1 at addr ffff88807a58c76c by task syz-executor280/5076 CPU: 1 PID: 5076 Comm: syz-executor280 Not tainted 6.9.0-rc5-syzkaller #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 03/27/2024 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0x241/0x360 lib/dump_stack.c:114 print_address_description mm/kasan/report.c:377 [inline] print_report+0x169/0x550 mm/kasan/report.c:488 kasan_report+0x143/0x180 mm/kasan/report.c:601 f2fs_test_bit fs/f2fs/f2fs.h:2933 [inline] current_nat_addr fs/f2fs/node.h:213 [inline] f2fs_get_node_info+0xece/0x1200 fs/f2fs/node.c:600 f2fs_xattr_fiemap fs/f2fs/data.c:1848 [inline] f2fs_fiemap+0x55d/0x1ee0 fs/f2fs/data.c:1925 ioctl_fiemap fs/ioctl.c:220 [inline] do_vfs_ioctl+0x1c07/0x2e50 fs/ioctl.c:838 __do_sys_ioctl fs/ioctl.c:902 [inline] __se_sys_ioctl+0x81/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f The root cause is we missed to do sanity check on i_xattr_nid during f2fs_iget(), so that in fiemap() path, current_nat_addr() will access nat_bitmap w/ offset from invalid i_xattr_nid, result in triggering kasan bug report, fix it. Уязвимость компонента inode.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: smb: client: fix deadlock in smb2_find_smb_tcon() Unlock cifs_tcp_ses_lock before calling cifs_put_smb_ses() to avoid such deadlock. Уязвимость компонента smb ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: nilfs2: fix nilfs_empty_dir() misjudgment and long loop on I/O errors The error handling in nilfs_empty_dir() when a directory folio/page read fails is incorrect, as in the old ext2 implementation, and if the folio/page cannot be read or nilfs_check_folio() fails, it will falsely determine the directory as empty and corrupt the file system. In addition, since nilfs_empty_dir() does not immediately return on a failed folio/page read, but continues to loop, this can cause a long loop with I/O if i_size of the directory's inode is also corrupted, causing the log writer thread to wait and hang, as reported by syzbot. Fix these issues by making nilfs_empty_dir() immediately return a false value (0) if it fails to get a directory folio/page. Уязвимость компонента nilfs2 ядра операционной системы Linux связана с чрезмерным потреблением ресурсов в цикле. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:H/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: add error handle to avoid out-of-bounds if the sdma_v4_0_irq_id_to_seq return -EINVAL, the process should be stop to avoid out-of-bounds read, so directly return -EINVAL. Уязвимость компонента drm/amdgpu ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfs: fix log recovery buffer allocation for the legacy h_size fixup Commit a70f9fe52daa ("xfs: detect and handle invalid iclog size set by mkfs") added a fixup for incorrect h_size values used for the initial umount record in old xfsprogs versions. Later commit 0c771b99d6c9 ("xfs: clean up calculation of LR header blocks") cleaned up the log reover buffer calculation, but stoped using the fixed up h_size value to size the log recovery buffer, which can lead to an out of bounds access when the incorrect h_size does not come from the old mkfs tool, but a fuzzer. Fix this by open coding xlog_logrec_hblks and taking the fixed h_size into account for this calculation. Уязвимость функции xlog_do_recovery_pass() в модуле fs/xfs/xfs_log_recover.c файловой системы xfs ядра операционной системы Linux связана с доступом к памяти за пределами выделенного буфера. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:H/I:L/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/vmalloc: fix vmalloc which may return null if called with __GFP_NOFAIL commit a421ef303008 ("mm: allow !GFP_KERNEL allocations for kvmalloc") includes support for __GFP_NOFAIL, but it presents a conflict with commit dd544141b9eb ("vmalloc: back off when the current task is OOM-killed"). A possible scenario is as follows: process-a __vmalloc_node_range(GFP_KERNEL | __GFP_NOFAIL) __vmalloc_area_node() vm_area_alloc_pages() --> oom-killer send SIGKILL to process-a if (fatal_signal_pending(current)) break; --> return NULL; To fix this, do not check fatal_signal_pending() in vm_area_alloc_pages() if __GFP_NOFAIL set. This issue occurred during OPLUS KASAN TEST. Below is part of the log -> oom-killer sends signal to process [65731.222840] [ T1308] oom-kill:constraint=CONSTRAINT_NONE,nodemask=(null),cpuset=/,mems_allowed=0,global_oom,task_memcg=/apps/uid_10198,task=gs.intelligence,pid=32454,uid=10198 [65731.259685] [T32454] Call trace: [65731.259698] [T32454] dump_backtrace+0xf4/0x118 [65731.259734] [T32454] show_stack+0x18/0x24 [65731.259756] [T32454] dump_stack_lvl+0x60/0x7c [65731.259781] [T32454] dump_stack+0x18/0x38 [65731.259800] [T32454] mrdump_common_die+0x250/0x39c [mrdump] [65731.259936] [T32454] ipanic_die+0x20/0x34 [mrdump] [65731.260019] [T32454] atomic_notifier_call_chain+0xb4/0xfc [65731.260047] [T32454] notify_die+0x114/0x198 [65731.260073] [T32454] die+0xf4/0x5b4 [65731.260098] [T32454] die_kernel_fault+0x80/0x98 [65731.260124] [T32454] __do_kernel_fault+0x160/0x2a8 [65731.260146] [T32454] do_bad_area+0x68/0x148 [65731.260174] [T32454] do_mem_abort+0x151c/0x1b34 [65731.260204] [T32454] el1_abort+0x3c/0x5c [65731.260227] [T32454] el1h_64_sync_handler+0x54/0x90 [65731.260248] [T32454] el1h_64_sync+0x68/0x6c [65731.260269] [T32454] z_erofs_decompress_queue+0x7f0/0x2258 --> be->decompressed_pages = kvcalloc(be->nr_pages, sizeof(struct page *), GFP_KERNEL | __GFP_NOFAIL); kernel panic by NULL pointer dereference. erofs assume kvmalloc with __GFP_NOFAIL never return NULL. [65731.260293] [T32454] z_erofs_runqueue+0xf30/0x104c [65731.260314] [T32454] z_erofs_readahead+0x4f0/0x968 [65731.260339] [T32454] read_pages+0x170/0xadc [65731.260364] [T32454] page_cache_ra_unbounded+0x874/0xf30 [65731.260388] [T32454] page_cache_ra_order+0x24c/0x714 [65731.260411] [T32454] filemap_fault+0xbf0/0x1a74 [65731.260437] [T32454] __do_fault+0xd0/0x33c [65731.260462] [T32454] handle_mm_fault+0xf74/0x3fe0 [65731.260486] [T32454] do_mem_abort+0x54c/0x1b34 [65731.260509] [T32454] el0_da+0x44/0x94 [65731.260531] [T32454] el0t_64_sync_handler+0x98/0xb4 [65731.260553] [T32454] el0t_64_sync+0x198/0x19c Уязвимость компонента mm/vmalloc ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: fbdev: savage: Handle err return when savagefb_check_var failed The commit 04e5eac8f3ab("fbdev: savage: Error out if pixclock equals zero") checks the value of pixclock to avoid divide-by-zero error. However the function savagefb_probe doesn't handle the error return of savagefb_check_var. When pixclock is 0, it will cause divide-by-zero error. Уязвимость компонента savage ядра операционной системы Linux связана с отсутствием проверки деления на ноль. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-369')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: md/raid5: fix deadlock that raid5d() wait for itself to clear MD_SB_CHANGE_PENDING Xiao reported that lvm2 test lvconvert-raid-takeover.sh can hang with small possibility, the root cause is exactly the same as commit bed9e27baf52 ("Revert "md/raid5: Wait for MD_SB_CHANGE_PENDING in raid5d"") However, Dan reported another hang after that, and junxiao investigated the problem and found out that this is caused by plugged bio can't issue from raid5d(). Current implementation in raid5d() has a weird dependence: 1) md_check_recovery() from raid5d() must hold 'reconfig_mutex' to clear MD_SB_CHANGE_PENDING; 2) raid5d() handles IO in a deadloop, until all IO are issued; 3) IO from raid5d() must wait for MD_SB_CHANGE_PENDING to be cleared; This behaviour is introduce before v2.6, and for consequence, if other context hold 'reconfig_mutex', and md_check_recovery() can't update super_block, then raid5d() will waste one cpu 100% by the deadloop, until 'reconfig_mutex' is released. Refer to the implementation from raid1 and raid10, fix this problem by skipping issue IO if MD_SB_CHANGE_PENDING is still set after md_check_recovery(), daemon thread will be woken up when 'reconfig_mutex' is released. Meanwhile, the hang problem will be fixed as well. Уязвимость компонента md/raid5 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: media: mc: Fix graph walk in media_pipeline_start The graph walk tries to follow all links, even if they are not between pads. This causes a crash with, e.g. a MEDIA_LNK_FL_ANCILLARY_LINK link. Fix this by allowing the walk to proceed only for MEDIA_LNK_FL_DATA_LINK links. Уязвимость ядра операционной системы Linux связана с неправильной обработкой данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bcache: fix variable length array abuse in btree_iter btree_iter is used in two ways: either allocated on the stack with a fixed size MAX_BSETS, or from a mempool with a dynamic size based on the specific cache set. Previously, the struct had a fixed-length array of size MAX_BSETS which was indexed out-of-bounds for the dynamically-sized iterators, which causes UBSAN to complain. This patch uses the same approach as in bcachefs's sort_iter and splits the iterator into a btree_iter with a flexible array member and a btree_iter_stack which embeds a btree_iter as well as a fixed-length data array. Уязвимость компонента bcache ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mmc: davinci: Don't strip remove function when driver is builtin Using __exit for the remove function results in the remove callback being discarded with CONFIG_MMC_DAVINCI=y. When such a device gets unbound (e.g. using sysfs or hotplug), the driver is just removed without the cleanup being performed. This results in resource leaks. Fix it by compiling in the remove callback unconditionally. This also fixes a W=1 modpost warning: WARNING: modpost: drivers/mmc/host/davinci_mmc: section mismatch in reference: davinci_mmcsd_driver+0x10 (section: .data) -> davinci_mmcsd_remove (section: .exit.text) Уязвимость компонента davinci ядра операционной системы Linux связана с выделением неограниченной памяти. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-770')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bonding: Fix out-of-bounds read in bond_option_arp_ip_targets_set() In function bond_option_arp_ip_targets_set(), if newval->string is an empty string, newval->string+1 will point to the byte after the string, causing an out-of-bound read. BUG: KASAN: slab-out-of-bounds in strlen+0x7d/0xa0 lib/string.c:418 Read of size 1 at addr ffff8881119c4781 by task syz-executor665/8107 CPU: 1 PID: 8107 Comm: syz-executor665 Not tainted 6.7.0-rc7 #1 Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 1.15.0-1 04/01/2014 Call Trace: <TASK> __dump_stack lib/dump_stack.c:88 [inline] dump_stack_lvl+0xd9/0x150 lib/dump_stack.c:106 print_address_description mm/kasan/report.c:364 [inline] print_report+0xc1/0x5e0 mm/kasan/report.c:475 kasan_report+0xbe/0xf0 mm/kasan/report.c:588 strlen+0x7d/0xa0 lib/string.c:418 __fortify_strlen include/linux/fortify-string.h:210 [inline] in4_pton+0xa3/0x3f0 net/core/utils.c:130 bond_option_arp_ip_targets_set+0xc2/0x910 drivers/net/bonding/bond_options.c:1201 __bond_opt_set+0x2a4/0x1030 drivers/net/bonding/bond_options.c:767 __bond_opt_set_notify+0x48/0x150 drivers/net/bonding/bond_options.c:792 bond_opt_tryset_rtnl+0xda/0x160 drivers/net/bonding/bond_options.c:817 bonding_sysfs_store_option+0xa1/0x120 drivers/net/bonding/bond_sysfs.c:156 dev_attr_store+0x54/0x80 drivers/base/core.c:2366 sysfs_kf_write+0x114/0x170 fs/sysfs/file.c:136 kernfs_fop_write_iter+0x337/0x500 fs/kernfs/file.c:334 call_write_iter include/linux/fs.h:2020 [inline] new_sync_write fs/read_write.c:491 [inline] vfs_write+0x96a/0xd80 fs/read_write.c:584 ksys_write+0x122/0x250 fs/read_write.c:637 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0x40/0x110 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x63/0x6b ---[ end trace ]--- Fix it by adding a check of string length before using it. Уязвимость компонента bonding ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: arm64: asm-bug: Add .align 2 to the end of __BUG_ENTRY When CONFIG_DEBUG_BUGVERBOSE=n, we fail to add necessary padding bytes to bug_table entries, and as a result the last entry in a bug table will be ignored, potentially leading to an unexpected panic(). All prior entries in the table will be handled correctly. The arm64 ABI requires that struct fields of up to 8 bytes are naturally-aligned, with padding added within a struct such that struct are suitably aligned within arrays. When CONFIG_DEBUG_BUGVERPOSE=y, the layout of a bug_entry is: struct bug_entry { signed int bug_addr_disp; // 4 bytes signed int file_disp; // 4 bytes unsigned short line; // 2 bytes unsigned short flags; // 2 bytes } ... with 12 bytes total, requiring 4-byte alignment. When CONFIG_DEBUG_BUGVERBOSE=n, the layout of a bug_entry is: struct bug_entry { signed int bug_addr_disp; // 4 bytes unsigned short flags; // 2 bytes < implicit padding > // 2 bytes } ... with 8 bytes total, with 6 bytes of data and 2 bytes of trailing padding, requiring 4-byte alginment. When we create a bug_entry in assembly, we align the start of the entry to 4 bytes, which implicitly handles padding for any prior entries. However, we do not align the end of the entry, and so when CONFIG_DEBUG_BUGVERBOSE=n, the final entry lacks the trailing padding bytes. For the main kernel image this is not a problem as find_bug() doesn't depend on the trailing padding bytes when searching for entries: for (bug = __start___bug_table; bug < __stop___bug_table; ++bug) if (bugaddr == bug_addr(bug)) return bug; However for modules, module_bug_finalize() depends on the trailing bytes when calculating the number of entries: mod->num_bugs = sechdrs[i].sh_size / sizeof(struct bug_entry); ... and as the last bug_entry lacks the necessary padding bytes, this entry will not be counted, e.g. in the case of a single entry: sechdrs[i].sh_size == 6 sizeof(struct bug_entry) == 8; sechdrs[i].sh_size / sizeof(struct bug_entry) == 0; Consequently module_find_bug() will miss the last bug_entry when it does: for (i = 0; i < mod->num_bugs; ++i, ++bug) if (bugaddr == bug_addr(bug)) goto out; ... which can lead to a kenrel panic due to an unhandled bug. This can be demonstrated with the following module: static int __init buginit(void) { WARN(1, "hello\n"); return 0; } static void __exit bugexit(void) { } module_init(buginit); module_exit(bugexit); MODULE_LICENSE("GPL"); ... which will trigger a kernel panic when loaded: ------------[ cut here ]------------ hello Unexpected kernel BRK exception at EL1 Internal error: BRK handler: 00000000f2000800 [#1] PREEMPT SMP Modules linked in: hello(O+) CPU: 0 PID: 50 Comm: insmod Tainted: G O 6.9.1 #8 Hardware name: linux,dummy-virt (DT) pstate: 60400005 (nZCv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : buginit+0x18/0x1000 [hello] lr : buginit+0x18/0x1000 [hello] sp : ffff800080533ae0 x29: ffff800080533ae0 x28: 0000000000000000 x27: 0000000000000000 x26: ffffaba8c4e70510 x25: ffff800080533c30 x24: ffffaba8c4a28a58 x23: 0000000000000000 x22: 0000000000000000 x21: ffff3947c0eab3c0 x20: ffffaba8c4e3f000 x19: ffffaba846464000 x18: 0000000000000006 x17: 0000000000000000 x16: ffffaba8c2492834 x15: 0720072007200720 x14: 0720072007200720 x13: ffffaba8c49b27c8 x12: 0000000000000312 x11: 0000000000000106 x10: ffffaba8c4a0a7c8 x9 : ffffaba8c49b27c8 x8 : 00000000ffffefff x7 : ffffaba8c4a0a7c8 x6 : 80000000fffff000 x5 : 0000000000000107 x4 : 0000000000000000 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000000 x0 : ffff3947c0eab3c0 Call trace: buginit+0x18/0x1000 [hello] do_one_initcall+0x80/0x1c8 do_init_module+0x60/0x218 load_module+0x1ba4/0x1d70 __do_sys_init_module+0x198/0x1d0 __arm64_sys_init_module+0x1c/0x28 invoke_syscall+0x48/0x114 el0_svc ---truncated--- Уязвимость компонента asm-bug ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix memleak in seg6_hmac_init_algo seg6_hmac_init_algo returns without cleaning up the previous allocations if one fails, so it's going to leak all that memory and the crypto tfms. Update seg6_hmac_exit to only free the memory when allocated, so we can reuse the code directly. Уязвимость компонента ipv6 ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: sr: fix missing sk_buff release in seg6_input_core The seg6_input() function is responsible for adding the SRH into a packet, delegating the operation to the seg6_input_core(). This function uses the skb_cow_head() to ensure that there is sufficient headroom in the sk_buff for accommodating the link-layer header. In the event that the skb_cow_header() function fails, the seg6_input_core() catches the error but it does not release the sk_buff, which will result in a memory leak. This issue was introduced in commit af3b5158b89d ("ipv6: sr: fix BUG due to headroom too small after SRH push") and persists even after commit 7a3f5b0de364 ("netfilter: add netfilter hooks to SRv6 data plane"), where the entire seg6_input() code was refactored to deal with netfilter hooks. The proposed patch addresses the identified memory leak by requiring the seg6_input_core() function to release the sk_buff in the event that skb_cow_head() fails. Уязвимость компонента sr ядра операционной системы Linux связана с отсутствием освобождения памяти после эффективного срока службы в функции seg6_input_core(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=6.2) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: crypto: qat - Fix ADF_DEV_RESET_SYNC memory leak Using completion_done to determine whether the caller has gone away only works after a complete call. Furthermore it's still possible that the caller has not yet called wait_for_completion, resulting in another potential UAF. Fix this by making the caller use cancel_work_sync and then freeing the memory safely. Уязвимость компонента crypto ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: btrfs: zoned: fix use-after-free due to race with dev replace While loading a zone's info during creation of a block group, we can race with a device replace operation and then trigger a use-after-free on the device that was just replaced (source device of the replace operation). This happens because at btrfs_load_zone_info() we extract a device from the chunk map into a local variable and then use the device while not under the protection of the device replace rwsem. So if there's a device replace operation happening when we extract the device and that device is the source of the replace operation, we will trigger a use-after-free if before we finish using the device the replace operation finishes and frees the device. Fix this by enlarging the critical section under the protection of the device replace rwsem so that all uses of the device are done inside the critical section. Уязвимость функции btrfs_load_zone_info() в модуле fs/btrfs/zoned.c файловой системы btrfs ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти из-за конкурентного доступа к ресурсу (состояние гонки). Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/shmem-helper: Fix BUG_ON() on mmap(PROT_WRITE, MAP_PRIVATE) Lack of check for copy-on-write (COW) mapping in drm_gem_shmem_mmap allows users to call mmap with PROT_WRITE and MAP_PRIVATE flag causing a kernel panic due to BUG_ON in vmf_insert_pfn_prot: BUG_ON((vma->vm_flags & VM_PFNMAP) && is_cow_mapping(vma->vm_flags)); Return -EINVAL early if COW mapping is detected. This bug affects all drm drivers using default shmem helpers. It can be reproduced by this simple example: void *ptr = mmap(0, size, PROT_WRITE, MAP_PRIVATE, fd, mmap_offset); ptr[0] = 0; Уязвимость компонента drm_gem_shmem_helper.c ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: vmci: prevent speculation leaks by sanitizing event in event_deliver() Coverity spotted that event_msg is controlled by user-space, event_msg->event_data.event is passed to event_deliver() and used as an index without sanitization. This change ensures that the event index is sanitized to mitigate any possibility of speculative information leaks. This bug was discovered and resolved using Coverity Static Analysis Security Testing (SAST) by Synopsys, Inc. Only compile tested, no access to HW. Уязвимость компонента vmci ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: sock_map: avoid race between sock_map_close and sk_psock_put sk_psock_get will return NULL if the refcount of psock has gone to 0, which will happen when the last call of sk_psock_put is done. However, sk_psock_drop may not have finished yet, so the close callback will still point to sock_map_close despite psock being NULL. This can be reproduced with a thread deleting an element from the sock map, while the second one creates a socket, adds it to the map and closes it. That will trigger the WARN_ON_ONCE: ------------[ cut here ]------------ WARNING: CPU: 1 PID: 7220 at net/core/sock_map.c:1701 sock_map_close+0x2a2/0x2d0 net/core/sock_map.c:1701 Modules linked in: CPU: 1 PID: 7220 Comm: syz-executor380 Not tainted 6.9.0-syzkaller-07726-g3c999d1ae3c7 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:sock_map_close+0x2a2/0x2d0 net/core/sock_map.c:1701 Code: df e8 92 29 88 f8 48 8b 1b 48 89 d8 48 c1 e8 03 42 80 3c 20 00 74 08 48 89 df e8 79 29 88 f8 4c 8b 23 eb 89 e8 4f 15 23 f8 90 <0f> 0b 90 48 83 c4 08 5b 41 5c 41 5d 41 5e 41 5f 5d e9 13 26 3d 02 RSP: 0018:ffffc9000441fda8 EFLAGS: 00010293 RAX: ffffffff89731ae1 RBX: ffffffff94b87540 RCX: ffff888029470000 RDX: 0000000000000000 RSI: ffffffff8bcab5c0 RDI: ffffffff8c1faba0 RBP: 0000000000000000 R08: ffffffff92f9b61f R09: 1ffffffff25f36c3 R10: dffffc0000000000 R11: fffffbfff25f36c4 R12: ffffffff89731840 R13: ffff88804b587000 R14: ffff88804b587000 R15: ffffffff89731870 FS: 000055555e080380(0000) GS:ffff8880b9500000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000000207d4000 CR4: 0000000000350ef0 Call Trace: <TASK> unix_release+0x87/0xc0 net/unix/af_unix.c:1048 __sock_release net/socket.c:659 [inline] sock_close+0xbe/0x240 net/socket.c:1421 __fput+0x42b/0x8a0 fs/file_table.c:422 __do_sys_close fs/open.c:1556 [inline] __se_sys_close fs/open.c:1541 [inline] __x64_sys_close+0x7f/0x110 fs/open.c:1541 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7fb37d618070 Code: 00 00 48 c7 c2 b8 ff ff ff f7 d8 64 89 02 b8 ff ff ff ff eb d4 e8 10 2c 00 00 80 3d 31 f0 07 00 00 74 17 b8 03 00 00 00 0f 05 <48> 3d 00 f0 ff ff 77 48 c3 0f 1f 80 00 00 00 00 48 83 ec 18 89 7c RSP: 002b:00007ffcd4a525d8 EFLAGS: 00000202 ORIG_RAX: 0000000000000003 RAX: ffffffffffffffda RBX: 0000000000000005 RCX: 00007fb37d618070 RDX: 0000000000000010 RSI: 00000000200001c0 RDI: 0000000000000004 RBP: 0000000000000000 R08: 0000000100000000 R09: 0000000100000000 R10: 0000000000000000 R11: 0000000000000202 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 </TASK> Use sk_psock, which will only check that the pointer is not been set to NULL yet, which should only happen after the callbacks are restored. If, then, a reference can still be gotten, we may call sk_psock_stop and cancel psock->work. As suggested by Paolo Abeni, reorder the condition so the control flow is less convoluted. After that change, the reproducer does not trigger the WARN_ON_ONCE anymore. Уязвимость компонента sock_map ядра операционной системы Linux связана с разыменованием указателя NULL в функции sock_map_close(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 Rejected reason: This CVE ID has been rejected or withdrawn by its CVE Numbering Authority. Уязвимость компонента core ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None None linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ionic: fix use after netif_napi_del() When queues are started, netif_napi_add() and napi_enable() are called. If there are 4 queues and only 3 queues are used for the current configuration, only 3 queues' napi should be registered and enabled. The ionic_qcq_enable() checks whether the .poll pointer is not NULL for enabling only the using queue' napi. Unused queues' napi will not be registered by netif_napi_add(), so the .poll pointer indicates NULL. But it couldn't distinguish whether the napi was unregistered or not because netif_napi_del() doesn't reset the .poll pointer to NULL. So, ionic_qcq_enable() calls napi_enable() for the queue, which was unregistered by netif_napi_del(). Reproducer: ethtool -L <interface name> rx 1 tx 1 combined 0 ethtool -L <interface name> rx 0 tx 0 combined 1 ethtool -L <interface name> rx 0 tx 0 combined 4 Splat looks like: kernel BUG at net/core/dev.c:6666! Oops: invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 3 PID: 1057 Comm: kworker/3:3 Not tainted 6.10.0-rc2+ #16 Workqueue: events ionic_lif_deferred_work [ionic] RIP: 0010:napi_enable+0x3b/0x40 Code: 48 89 c2 48 83 e2 f6 80 b9 61 09 00 00 00 74 0d 48 83 bf 60 01 00 00 00 74 03 80 ce 01 f0 4f RSP: 0018:ffffb6ed83227d48 EFLAGS: 00010246 RAX: 0000000000000000 RBX: ffff97560cda0828 RCX: 0000000000000029 RDX: 0000000000000001 RSI: 0000000000000000 RDI: ffff97560cda0a28 RBP: ffffb6ed83227d50 R08: 0000000000000400 R09: 0000000000000001 R10: 0000000000000001 R11: 0000000000000001 R12: 0000000000000000 R13: ffff97560ce3c1a0 R14: 0000000000000000 R15: ffff975613ba0a20 FS: 0000000000000000(0000) GS:ffff975d5f780000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f8f734ee200 CR3: 0000000103e50000 CR4: 00000000007506f0 PKRU: 55555554 Call Trace: <TASK> ? die+0x33/0x90 ? do_trap+0xd9/0x100 ? napi_enable+0x3b/0x40 ? do_error_trap+0x83/0xb0 ? napi_enable+0x3b/0x40 ? napi_enable+0x3b/0x40 ? exc_invalid_op+0x4e/0x70 ? napi_enable+0x3b/0x40 ? asm_exc_invalid_op+0x16/0x20 ? napi_enable+0x3b/0x40 ionic_qcq_enable+0xb7/0x180 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_start_queues+0xc4/0x290 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_link_status_check+0x11c/0x170 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] ionic_lif_deferred_work+0x129/0x280 [ionic 59bdfc8a035436e1c4224ff7d10789e3f14643f8] process_one_work+0x145/0x360 worker_thread+0x2bb/0x3d0 ? __pfx_worker_thread+0x10/0x10 kthread+0xcc/0x100 ? __pfx_kthread+0x10/0x10 ret_from_fork+0x2d/0x50 ? __pfx_kthread+0x10/0x10 ret_from_fork_asm+0x1a/0x30 Уязвимость компонента ionic ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: netfilter: ipset: Fix race between namespace cleanup and gc in the list:set type Lion Ackermann reported that there is a race condition between namespace cleanup in ipset and the garbage collection of the list:set type. The namespace cleanup can destroy the list:set type of sets while the gc of the set type is waiting to run in rcu cleanup. The latter uses data from the destroyed set which thus leads use after free. The patch contains the following parts: - When destroying all sets, first remove the garbage collectors, then wait if needed and then destroy the sets. - Fix the badly ordered "wait then remove gc" for the destroy a single set case. - Fix the missing rcu locking in the list:set type in the userspace test case. - Use proper RCU list handlings in the list:set type. The patch depends on c1193d9bbbd3 (netfilter: ipset: Add list flush to cancel_gc). Уязвимость компонента ipset ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) В целях устранения угрозы эксплуатации уязвимости необходимо запретить загрузку модуля br_netfilter.ko в ядро Linux. Для этого необходимо выполнить действия, описанные ниже. 1. Чтобы проверить, загружен ли модуль br_netfilter в ядро Linux, необходимо выполнить одну из команд: ``` lsmod | grep br_netfilter ``` или ``` kmod list | grep br_netfilter ``` Если модуль не загружен, то в результате выполнения команды будет пустой вывод. 2. Если модуль загружен, его необходимо отключить (выгрузить). Это можно сделать с помощью следующей команды: ``` sudo rmmod br_netfilter ``` 3. Далее, используя полномочия администратора системы с высоким уровнем целостности, с помощью текстового редактора открыть файл /etc/modprobe.d/blacklist.local.conf (если такого файла нет - создать его). 4. Добавить в файл строки, содержащие ключевое слово install, название блокируемого модуля и shell-комманду: ``` install br_netfilter /bin/true ``` 5. Обновить параметры загрузки командой: ``` sudo update-initramfs -uk all ``` 6. Выполнить перезагрузку. После этого данные модули включаться по умолчанию не будут. Для того, чтобы включить модуль обратно, нужно удалить строку из файла (пункт №4) и обновить заново параметры (пунтк №5). Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/komeda: check for error-valued pointer komeda_pipeline_get_state() may return an error-valued pointer, thus check the pointer for negative or null value before dereferencing. Уязвимость компонентов drm/komeda ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: liquidio: Adjust a NULL pointer handling path in lio_vf_rep_copy_packet In lio_vf_rep_copy_packet() pg_info->page is compared to a NULL value, but then it is unconditionally passed to skb_add_rx_frag() which looks strange and could lead to null pointer dereference. lio_vf_rep_copy_packet() call trace looks like: octeon_droq_process_packets octeon_droq_fast_process_packets octeon_droq_dispatch_pkt octeon_create_recv_info ...search in the dispatch_list... ->disp_fn(rdisp->rinfo, ...) lio_vf_rep_pkt_recv(struct octeon_recv_info *recv_info, ...) In this path there is no code which sets pg_info->page to NULL. So this check looks unneeded and doesn't solve potential problem. But I guess the author had reason to add a check and I have no such card and can't do real test. In addition, the code in the function liquidio_push_packet() in liquidio/lio_core.c does exactly the same. Based on this, I consider the most acceptable compromise solution to adjust this issue by moving skb_add_rx_frag() into conditional scope. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента liquidio ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: hns3: fix kernel crash problem in concurrent scenario When link status change, the nic driver need to notify the roce driver to handle this event, but at this time, the roce driver may uninit, then cause kernel crash. To fix the problem, when link status change, need to check whether the roce registered, and when uninit, need to wait link update finish. Уязвимость компонента hns3 ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.0) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: core: remove unnecessary WARN_ON() in implement() Syzkaller hit a warning [1] in a call to implement() when trying to write a value into a field of smaller size in an output report. Since implement() already has a warn message printed out with the help of hid_warn() and value in question gets trimmed with: ... value &= m; ... WARN_ON may be considered superfluous. Remove it to suppress future syzkaller triggers. [1] WARNING: CPU: 0 PID: 5084 at drivers/hid/hid-core.c:1451 implement drivers/hid/hid-core.c:1451 [inline] WARNING: CPU: 0 PID: 5084 at drivers/hid/hid-core.c:1451 hid_output_report+0x548/0x760 drivers/hid/hid-core.c:1863 Modules linked in: CPU: 0 PID: 5084 Comm: syz-executor424 Not tainted 6.9.0-rc7-syzkaller-00183-gcf87f46fd34d #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:implement drivers/hid/hid-core.c:1451 [inline] RIP: 0010:hid_output_report+0x548/0x760 drivers/hid/hid-core.c:1863 ... Call Trace: <TASK> __usbhid_submit_report drivers/hid/usbhid/hid-core.c:591 [inline] usbhid_submit_report+0x43d/0x9e0 drivers/hid/usbhid/hid-core.c:636 hiddev_ioctl+0x138b/0x1f00 drivers/hid/usbhid/hiddev.c:726 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:904 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:890 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf5/0x240 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f ... Уязвимость компонента core ядра операционной системы Linux связана с ошибками управления ресурсом. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 apache2 Potential SSRF in mod_rewrite in Apache HTTP Server 2.4.59 and earlier allows an attacker to cause unsafe RewriteRules to unexpectedly setup URL's to be handled by mod_proxy. Users are recommended to upgrade to version 2.4.60, which fixes this issue. Уязвимость компонента modules/mappers/mod_rewrite.c веб-сервера Apache HTTP Server связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным [NistCWE(cwe='CWE-20')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N', score=7.5) apache2: - Обеспечить подключения к серверу, использующему ПО apache2, только по https протоколу - Включить и настроить модули безопасности mod_security и mod_evasive - Отключить отображение версии Apache - Отключить неиспользуемые модули Apache - Запускайте Apache с минимально необходимыми привилегиями под отдельным пользователем и группой - Ограничьте размер принимаемых запросов - Настройте брандмауэр (например, ufw), для контроля разрешённого для сервера внешнего и внутреннего трафика - Использовать VPN для подключение доверенных пользователей к ПО apache2 libapache2-mod-nss: - Обеспечить возможность использования библиотеки libapache2-mod-nss только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 xrdp xrdp is an open source RDP server. xrdp versions prior to 0.10.0 have a vulnerability that allows attackers to make an infinite number of login attempts. The number of max login attempts is supposed to be limited by a configuration parameter `MaxLoginRetry` in `/etc/xrdp/sesman.ini`. However, this mechanism was not effectively working. As a result, xrdp allows an infinite number of login attempts. Уязвимость сервера XRDP связана с недостатками процедуры аутентификации. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-307'), NistCWE(cwe='CWE-307')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:C/C:L/I:N/A:L', score=7.2) xrdp: - Ограничьте доступ к серверу xrdp только доверенным IP-адресам через межсетевой экран - Запретите прямой доступ к xrdp из внешних сетей - Используйте сложные пароли для учётных записей, доступных через xrdp - Запускайте службу xrdp под отдельной учётной записью с минимальными правами - Настройте правила для мониторинга аномальной активности на порту 3389 Astra Linux 1.8 apache2 A partial fix for  CVE-2024-39884 in the core of Apache HTTP Server 2.4.61 ignores some use of the legacy content-type based configuration of handlers. "AddType" and similar configuration, under some circumstances where files are requested indirectly, result in source code disclosure of local content. For example, PHP scripts may be served instead of interpreted. Users are recommended to upgrade to version 2.4.62, which fixes this issue. Уязвимость ядра веб-сервера Apache HTTP Server связана с игнорированием устаревшей конфигурации обработчиков функцией "AddType". Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию [NistCWE(cwe='CWE-668')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N', score=5.3) Эта уязвимость возникает, когда включен mod_proxy, используется директива ProxyPass. Отключите ProxyPass для небезопасных или ненужных конфигураций или отключите mod_proxy, если он не используется. Для этого в терминале нужно выполнить следующие команды: ```bash sudo a2dismod proxy sudo a2dismod proxy_http sudo systemctl restart apache2``` Astra Linux 1.8 bind9 Client queries that trigger serving stale data and that also require lookups in local authoritative zone data may result in an assertion failure. This issue affects BIND 9 versions 9.16.13 through 9.16.50, 9.18.0 through 9.18.27, 9.19.0 through 9.19.24, 9.11.33-S1 through 9.11.37-S1, 9.16.13-S1 through 9.16.50-S1, and 9.18.11-S1 through 9.18.27-S1. Уязвимость сервера DNS BIND связана с недостатком использования функции assert(). Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-617')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) bind9: - Исключить из автозапуска сетевой сервис (стандартная конфигурация ОС) - Обеспечить возможность запуска bind9 только доверенными пользователями ОС - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk A use-after-free issue was addressed with improved memory management. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-416'), NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:L', score=4.3) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds read was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WPE WebKit и WebKitGTK связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds read was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125'), NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=5.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk An out-of-bounds access issue was addressed with improved bounds checking. This issue is fixed in Safari 17.6, iOS 16.7.9 and iPadOS 16.7.9, iOS 17.6 and iPadOS 17.6, macOS Sonoma 14.6, tvOS 17.6, visionOS 1.3, watchOS 10.6. Processing maliciously crafted web content may lead to an unexpected process crash. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 webkit2gtk The issue was addressed with improved UI. This issue is fixed in Safari 18, macOS Sequoia 15. Visiting a malicious website may lead to address bar spoofing. Уязвимость модулей отображения веб-страниц WebKitGTK и WPE WebKit связана с ложным представлением критической информации пользовательским интерфейсом. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность данных [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:H/A:N', score=6.5) webkit2gtk: 1. Удалить ПО webkit2gtk, если оно не используется и не является зависимостью других используемых пакетов 2. Запускать приложения, использующие ПО webkit2gtk, в изолированной программной среде с применением инструмента Firejail 3. Выполнить безопасную настройку webkit2gtk: - При использовании ПО webkit2gtk производить обработку веб-контента только из доверенных источников - Включить и настроить межсетевой экран ufw для фильтрации трафика - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС - Отключить и удалить неиспользуемые учётные записи пользователей - Включить мандатный контроль целостности (МКЦ) - Включить режим замкнутой программной среды - Активировать и настроить профили пользователей для работы в режиме Киоск-2 Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: remove requests from xarray during flushing requests Even with CACHEFILES_DEAD set, we can still read the requests, so in the following concurrency the request may be used after it has been freed: mount | daemon_thread1 | daemon_thread2 ------------------------------------------------------------ cachefiles_ondemand_init_object cachefiles_ondemand_send_req REQ_A = kzalloc(sizeof(*req) + data_len) wait_for_completion(&REQ_A->done) cachefiles_daemon_read cachefiles_ondemand_daemon_read // close dev fd cachefiles_flush_reqs complete(&REQ_A->done) kfree(REQ_A) xa_lock(&cache->reqs); cachefiles_ondemand_select_req req->msg.opcode != CACHEFILES_OP_READ // req use-after-free !!! xa_unlock(&cache->reqs); xa_destroy(&cache->reqs) Hence remove requests from cache->reqs when flushing them to avoid accessing freed requests. Уязвимость компонента cachefiles операционной системы Linux связана с использованием памяти после освобождения в функции cachefiles_flush_reqs(). Эксплуатация уязвимости может позволить нарушителю повысить привилегии [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: mpt3sas: Avoid test/set_bit() operating in non-allocated memory There is a potential out-of-bounds access when using test_bit() on a single word. The test_bit() and set_bit() functions operate on long values, and when testing or setting a single word, they can exceed the word boundary. KASAN detects this issue and produces a dump: BUG: KASAN: slab-out-of-bounds in _scsih_add_device.constprop.0 (./arch/x86/include/asm/bitops.h:60 ./include/asm-generic/bitops/instrumented-atomic.h:29 drivers/scsi/mpt3sas/mpt3sas_scsih.c:7331) mpt3sas Write of size 8 at addr ffff8881d26e3c60 by task kworker/u1536:2/2965 For full log, please look at [1]. Make the allocation at least the size of sizeof(unsigned long) so that set_bit() and test_bit() have sufficient room for read/write operations without overwriting unallocated memory. [1] Link: https://lore.kernel.org/all/ZkNcALr3W3KGYYJG@gmail.com/ Уязвимость компонента mpt3sas ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: USB: class: cdc-wdm: Fix CPU lockup caused by excessive log messages The syzbot fuzzer found that the interrupt-URB completion callback in the cdc-wdm driver was taking too long, and the driver's immediate resubmission of interrupt URBs with -EPROTO status combined with the dummy-hcd emulation to cause a CPU lockup: cdc_wdm 1-1:1.0: nonzero urb status received: -71 cdc_wdm 1-1:1.0: wdm_int_callback - 0 bytes watchdog: BUG: soft lockup - CPU#0 stuck for 26s! [syz-executor782:6625] CPU#0 Utilization every 4s during lockup: #1: 98% system, 0% softirq, 3% hardirq, 0% idle #2: 98% system, 0% softirq, 3% hardirq, 0% idle #3: 98% system, 0% softirq, 3% hardirq, 0% idle #4: 98% system, 0% softirq, 3% hardirq, 0% idle #5: 98% system, 1% softirq, 3% hardirq, 0% idle Modules linked in: irq event stamp: 73096 hardirqs last enabled at (73095): [<ffff80008037bc00>] console_emit_next_record kernel/printk/printk.c:2935 [inline] hardirqs last enabled at (73095): [<ffff80008037bc00>] console_flush_all+0x650/0xb74 kernel/printk/printk.c:2994 hardirqs last disabled at (73096): [<ffff80008af10b00>] __el1_irq arch/arm64/kernel/entry-common.c:533 [inline] hardirqs last disabled at (73096): [<ffff80008af10b00>] el1_interrupt+0x24/0x68 arch/arm64/kernel/entry-common.c:551 softirqs last enabled at (73048): [<ffff8000801ea530>] softirq_handle_end kernel/softirq.c:400 [inline] softirqs last enabled at (73048): [<ffff8000801ea530>] handle_softirqs+0xa60/0xc34 kernel/softirq.c:582 softirqs last disabled at (73043): [<ffff800080020de8>] __do_softirq+0x14/0x20 kernel/softirq.c:588 CPU: 0 PID: 6625 Comm: syz-executor782 Tainted: G W 6.10.0-rc2-syzkaller-g8867bbd4a056 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Testing showed that the problem did not occur if the two error messages -- the first two lines above -- were removed; apparently adding material to the kernel log takes a surprisingly large amount of time. In any case, the best approach for preventing these lockups and to avoid spamming the log with thousands of error messages per second is to ratelimit the two dev_err() calls. Therefore we replace them with dev_err_ratelimited(). Уязвимость драйвера cdc-wdm ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: fix possible race in __fib6_drop_pcpu_from() syzbot found a race in __fib6_drop_pcpu_from() [1] If compiler reads more than once (*ppcpu_rt), second read could read NULL, if another cpu clears the value in rt6_get_pcpu_route(). Add a READ_ONCE() to prevent this race. Also add rcu_read_lock()/rcu_read_unlock() because we rely on RCU protection while dereferencing pcpu_rt. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc0000000012: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000090-0x0000000000000097] CPU: 0 PID: 7543 Comm: kworker/u8:17 Not tainted 6.10.0-rc1-syzkaller-00013-g2bfcfd584ff5 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Workqueue: netns cleanup_net RIP: 0010:__fib6_drop_pcpu_from.part.0+0x10a/0x370 net/ipv6/ip6_fib.c:984 Code: f8 48 c1 e8 03 80 3c 28 00 0f 85 16 02 00 00 4d 8b 3f 4d 85 ff 74 31 e8 74 a7 fa f7 49 8d bf 90 00 00 00 48 89 f8 48 c1 e8 03 <80> 3c 28 00 0f 85 1e 02 00 00 49 8b 87 90 00 00 00 48 8b 0c 24 48 RSP: 0018:ffffc900040df070 EFLAGS: 00010206 RAX: 0000000000000012 RBX: 0000000000000001 RCX: ffffffff89932e16 RDX: ffff888049dd1e00 RSI: ffffffff89932d7c RDI: 0000000000000091 RBP: dffffc0000000000 R08: 0000000000000005 R09: 0000000000000007 R10: 0000000000000001 R11: 0000000000000006 R12: ffff88807fa080b8 R13: fffffbfff1a9a07d R14: ffffed100ff41022 R15: 0000000000000001 FS: 0000000000000000(0000) GS:ffff8880b9200000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b32c26000 CR3: 000000005d56e000 CR4: 00000000003526f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> __fib6_drop_pcpu_from net/ipv6/ip6_fib.c:966 [inline] fib6_drop_pcpu_from net/ipv6/ip6_fib.c:1027 [inline] fib6_purge_rt+0x7f2/0x9f0 net/ipv6/ip6_fib.c:1038 fib6_del_route net/ipv6/ip6_fib.c:1998 [inline] fib6_del+0xa70/0x17b0 net/ipv6/ip6_fib.c:2043 fib6_clean_node+0x426/0x5b0 net/ipv6/ip6_fib.c:2205 fib6_walk_continue+0x44f/0x8d0 net/ipv6/ip6_fib.c:2127 fib6_walk+0x182/0x370 net/ipv6/ip6_fib.c:2175 fib6_clean_tree+0xd7/0x120 net/ipv6/ip6_fib.c:2255 __fib6_clean_all+0x100/0x2d0 net/ipv6/ip6_fib.c:2271 rt6_sync_down_dev net/ipv6/route.c:4906 [inline] rt6_disable_ip+0x7ed/0xa00 net/ipv6/route.c:4911 addrconf_ifdown.isra.0+0x117/0x1b40 net/ipv6/addrconf.c:3855 addrconf_notify+0x223/0x19e0 net/ipv6/addrconf.c:3778 notifier_call_chain+0xb9/0x410 kernel/notifier.c:93 call_netdevice_notifiers_info+0xbe/0x140 net/core/dev.c:1992 call_netdevice_notifiers_extack net/core/dev.c:2030 [inline] call_netdevice_notifiers net/core/dev.c:2044 [inline] dev_close_many+0x333/0x6a0 net/core/dev.c:1585 unregister_netdevice_many_notify+0x46d/0x19f0 net/core/dev.c:11193 unregister_netdevice_many net/core/dev.c:11276 [inline] default_device_exit_batch+0x85b/0xae0 net/core/dev.c:11759 ops_exit_list+0x128/0x180 net/core/net_namespace.c:178 cleanup_net+0x5b7/0xbf0 net/core/net_namespace.c:640 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xf70 kernel/workqueue.c:3393 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:H/PR:L/UI:N/S:U/C:N/I:N/A:H', score=4.7) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Always stop health timer during driver removal Currently, if teardown_hca fails to execute during driver removal, mlx5 does not stop the health timer. Afterwards, mlx5 continue with driver teardown. This may lead to a UAF bug, which results in page fault Oops[1], since the health timer invokes after resources were freed. Hence, stop the health monitor even if teardown_hca fails. [1] mlx5_core 0000:18:00.0: E-Switch: Unload vfs: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: Disable: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: Disable: mode(LEGACY), nvfs(0), necvfs(0), active vports(0) mlx5_core 0000:18:00.0: E-Switch: cleanup mlx5_core 0000:18:00.0: wait_func:1155:(pid 1967079): TEARDOWN_HCA(0x103) timeout. Will cause a leak of a command resource mlx5_core 0000:18:00.0: mlx5_function_close:1288:(pid 1967079): tear_down_hca failed, skip cleanup BUG: unable to handle page fault for address: ffffa26487064230 PGD 100c00067 P4D 100c00067 PUD 100e5a067 PMD 105ed7067 PTE 0 Oops: 0000 [#1] PREEMPT SMP PTI CPU: 0 PID: 0 Comm: swapper/0 Tainted: G OE ------- --- 6.7.0-68.fc38.x86_64 #1 Hardware name: Intel Corporation S2600WFT/S2600WFT, BIOS SE5C620.86B.02.01.0013.121520200651 12/15/2020 RIP: 0010:ioread32be+0x34/0x60 RSP: 0018:ffffa26480003e58 EFLAGS: 00010292 RAX: ffffa26487064200 RBX: ffff9042d08161a0 RCX: ffff904c108222c0 RDX: 000000010bbf1b80 RSI: ffffffffc055ddb0 RDI: ffffa26487064230 RBP: ffff9042d08161a0 R08: 0000000000000022 R09: ffff904c108222e8 R10: 0000000000000004 R11: 0000000000000441 R12: ffffffffc055ddb0 R13: ffffa26487064200 R14: ffffa26480003f00 R15: ffff904c108222c0 FS: 0000000000000000(0000) GS:ffff904c10800000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: ffffa26487064230 CR3: 00000002c4420006 CR4: 00000000007706f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <IRQ> ? __die+0x23/0x70 ? page_fault_oops+0x171/0x4e0 ? exc_page_fault+0x175/0x180 ? asm_exc_page_fault+0x26/0x30 ? __pfx_poll_health+0x10/0x10 [mlx5_core] ? __pfx_poll_health+0x10/0x10 [mlx5_core] ? ioread32be+0x34/0x60 mlx5_health_check_fatal_sensors+0x20/0x100 [mlx5_core] ? __pfx_poll_health+0x10/0x10 [mlx5_core] poll_health+0x42/0x230 [mlx5_core] ? __next_timer_interrupt+0xbc/0x110 ? __pfx_poll_health+0x10/0x10 [mlx5_core] call_timer_fn+0x21/0x130 ? __pfx_poll_health+0x10/0x10 [mlx5_core] __run_timers+0x222/0x2c0 run_timer_softirq+0x1d/0x40 __do_softirq+0xc9/0x2c8 __irq_exit_rcu+0xa6/0xc0 sysvec_apic_timer_interrupt+0x72/0x90 </IRQ> <TASK> asm_sysvec_apic_timer_interrupt+0x1a/0x20 RIP: 0010:cpuidle_enter_state+0xcc/0x440 ? cpuidle_enter_state+0xbd/0x440 cpuidle_enter+0x2d/0x40 do_idle+0x20d/0x270 cpu_startup_entry+0x2a/0x30 rest_init+0xd0/0xd0 arch_call_rest_init+0xe/0x30 start_kernel+0x709/0xa90 x86_64_start_reservations+0x18/0x30 x86_64_start_kernel+0x96/0xa0 secondary_startup_64_no_verify+0x18f/0x19b ---[ end trace 0000000000000000 ]--- Уязвимость функции mlx5_function_teardown() ядра операционной системы Linux связана с повторным использованием ранее освобожденной памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bpf: Set run context for rawtp test_run callback syzbot reported crash when rawtp program executed through the test_run interface calls bpf_get_attach_cookie helper or any other helper that touches task->bpf_ctx pointer. Setting the run context (task->bpf_ctx pointer) for test_run callback. Уязвимость компонента bpf ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ax25: Fix refcount imbalance on inbound connections When releasing a socket in ax25_release(), we call netdev_put() to decrease the refcount on the associated ax.25 device. However, the execution path for accepting an incoming connection never calls netdev_hold(). This imbalance leads to refcount errors, and ultimately to kernel crashes. A typical call trace for the above situation will start with one of the following errors: refcount_t: decrement hit 0; leaking memory. refcount_t: underflow; use-after-free. And will then have a trace like: Call Trace: <TASK> ? show_regs+0x64/0x70 ? __warn+0x83/0x120 ? refcount_warn_saturate+0xb2/0x100 ? report_bug+0x158/0x190 ? prb_read_valid+0x20/0x30 ? handle_bug+0x3e/0x70 ? exc_invalid_op+0x1c/0x70 ? asm_exc_invalid_op+0x1f/0x30 ? refcount_warn_saturate+0xb2/0x100 ? refcount_warn_saturate+0xb2/0x100 ax25_release+0x2ad/0x360 __sock_release+0x35/0xa0 sock_close+0x19/0x20 [...] On reboot (or any attempt to remove the interface), the kernel gets stuck in an infinite loop: unregister_netdevice: waiting for ax0 to become free. Usage count = 0 This patch corrects these issues by ensuring that we call netdev_hold() and ax25_dev_hold() for new connections in ax25_accept(). This makes the logic leading to ax25_accept() match the logic for ax25_bind(): in both cases we increment the refcount, which is ultimately decremented in ax25_release(). Уязвимость функции ax25_accept() модуля net/ax25/af_ax25.c ядра операционной системы Linux связана с ошибками при обновлении счетчика ссылок. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: cfg80211: Lock wiphy in cfg80211_get_station Wiphy should be locked before calling rdev_get_station() (see lockdep assert in ieee80211_get_station()). This fixes the following kernel NULL dereference: Unable to handle kernel NULL pointer dereference at virtual address 0000000000000050 Mem abort info: ESR = 0x0000000096000006 EC = 0x25: DABT (current EL), IL = 32 bits SET = 0, FnV = 0 EA = 0, S1PTW = 0 FSC = 0x06: level 2 translation fault Data abort info: ISV = 0, ISS = 0x00000006 CM = 0, WnR = 0 user pgtable: 4k pages, 48-bit VAs, pgdp=0000000003001000 [0000000000000050] pgd=0800000002dca003, p4d=0800000002dca003, pud=08000000028e9003, pmd=0000000000000000 Internal error: Oops: 0000000096000006 [#1] SMP Modules linked in: netconsole dwc3_meson_g12a dwc3_of_simple dwc3 ip_gre gre ath10k_pci ath10k_core ath9k ath9k_common ath9k_hw ath CPU: 0 PID: 1091 Comm: kworker/u8:0 Not tainted 6.4.0-02144-g565f9a3a7911-dirty #705 Hardware name: RPT (r1) (DT) Workqueue: bat_events batadv_v_elp_throughput_metric_update pstate: 60000005 (nZCv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : ath10k_sta_statistics+0x10/0x2dc [ath10k_core] lr : sta_set_sinfo+0xcc/0xbd4 sp : ffff000007b43ad0 x29: ffff000007b43ad0 x28: ffff0000071fa900 x27: ffff00000294ca98 x26: ffff000006830880 x25: ffff000006830880 x24: ffff00000294c000 x23: 0000000000000001 x22: ffff000007b43c90 x21: ffff800008898acc x20: ffff00000294c6e8 x19: ffff000007b43c90 x18: 0000000000000000 x17: 445946354d552d78 x16: 62661f7200000000 x15: 57464f445946354d x14: 0000000000000000 x13: 00000000000000e3 x12: d5f0acbcebea978e x11: 00000000000000e3 x10: 000000010048fe41 x9 : 0000000000000000 x8 : ffff000007b43d90 x7 : 000000007a1e2125 x6 : 0000000000000000 x5 : ffff0000024e0900 x4 : ffff800000a0250c x3 : ffff000007b43c90 x2 : ffff00000294ca98 x1 : ffff000006831920 x0 : 0000000000000000 Call trace: ath10k_sta_statistics+0x10/0x2dc [ath10k_core] sta_set_sinfo+0xcc/0xbd4 ieee80211_get_station+0x2c/0x44 cfg80211_get_station+0x80/0x154 batadv_v_elp_get_throughput+0x138/0x1fc batadv_v_elp_throughput_metric_update+0x1c/0xa4 process_one_work+0x1ec/0x414 worker_thread+0x70/0x46c kthread+0xdc/0xe0 ret_from_fork+0x10/0x20 Code: a9bb7bfd 910003fd a90153f3 f9411c40 (f9402814) This happens because STA has time to disconnect and reconnect before batadv_v_elp_throughput_metric_update() delayed work gets scheduled. In this situation, ath10k_sta_state() can be in the middle of resetting arsta data when the work queue get chance to be scheduled and ends up accessing it. Locking wiphy prevents that. Уязвимость функции cfg80211_get_station() в модуле net/wireless/util.c компонента cfg80211 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=8.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: Fix deadlock in ieee80211_sta_ps_deliver_wakeup() The ieee80211_sta_ps_deliver_wakeup() function takes sta->ps_lock to synchronizes with ieee80211_tx_h_unicast_ps_buf() which is called from softirq context. However using only spin_lock() to get sta->ps_lock in ieee80211_sta_ps_deliver_wakeup() does not prevent softirq to execute on this same CPU, to run ieee80211_tx_h_unicast_ps_buf() and try to take this same lock ending in deadlock. Below is an example of rcu stall that arises in such situation. rcu: INFO: rcu_sched self-detected stall on CPU rcu: 2-....: (42413413 ticks this GP) idle=b154/1/0x4000000000000000 softirq=1763/1765 fqs=21206996 rcu: (t=42586894 jiffies g=2057 q=362405 ncpus=4) CPU: 2 PID: 719 Comm: wpa_supplicant Tainted: G W 6.4.0-02158-g1b062f552873 #742 Hardware name: RPT (r1) (DT) pstate: 00000005 (nzcv daif -PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : queued_spin_lock_slowpath+0x58/0x2d0 lr : invoke_tx_handlers_early+0x5b4/0x5c0 sp : ffff00001ef64660 x29: ffff00001ef64660 x28: ffff000009bc1070 x27: ffff000009bc0ad8 x26: ffff000009bc0900 x25: ffff00001ef647a8 x24: 0000000000000000 x23: ffff000009bc0900 x22: ffff000009bc0900 x21: ffff00000ac0e000 x20: ffff00000a279e00 x19: ffff00001ef646e8 x18: 0000000000000000 x17: ffff800016468000 x16: ffff00001ef608c0 x15: 0010533c93f64f80 x14: 0010395c9faa3946 x13: 0000000000000000 x12: 00000000fa83b2da x11: 000000012edeceea x10: ffff0000010fbe00 x9 : 0000000000895440 x8 : 000000000010533c x7 : ffff00000ad8b740 x6 : ffff00000c350880 x5 : 0000000000000007 x4 : 0000000000000001 x3 : 0000000000000000 x2 : 0000000000000000 x1 : 0000000000000001 x0 : ffff00000ac0e0e8 Call trace: queued_spin_lock_slowpath+0x58/0x2d0 ieee80211_tx+0x80/0x12c ieee80211_tx_pending+0x110/0x278 tasklet_action_common.constprop.0+0x10c/0x144 tasklet_action+0x20/0x28 _stext+0x11c/0x284 ____do_softirq+0xc/0x14 call_on_irq_stack+0x24/0x34 do_softirq_own_stack+0x18/0x20 do_softirq+0x74/0x7c __local_bh_enable_ip+0xa0/0xa4 _ieee80211_wake_txqs+0x3b0/0x4b8 __ieee80211_wake_queue+0x12c/0x168 ieee80211_add_pending_skbs+0xec/0x138 ieee80211_sta_ps_deliver_wakeup+0x2a4/0x480 ieee80211_mps_sta_status_update.part.0+0xd8/0x11c ieee80211_mps_sta_status_update+0x18/0x24 sta_apply_parameters+0x3bc/0x4c0 ieee80211_change_station+0x1b8/0x2dc nl80211_set_station+0x444/0x49c genl_family_rcv_msg_doit.isra.0+0xa4/0xfc genl_rcv_msg+0x1b0/0x244 netlink_rcv_skb+0x38/0x10c genl_rcv+0x34/0x48 netlink_unicast+0x254/0x2bc netlink_sendmsg+0x190/0x3b4 ____sys_sendmsg+0x1e8/0x218 ___sys_sendmsg+0x68/0x8c __sys_sendmsg+0x44/0x84 __arm64_sys_sendmsg+0x20/0x28 do_el0_svc+0x6c/0xe8 el0_svc+0x14/0x48 el0t_64_sync_handler+0xb0/0xb4 el0t_64_sync+0x14c/0x150 Using spin_lock_bh()/spin_unlock_bh() instead prevents softirq to raise on the same CPU that is holding the lock. Уязвимость компонента mac80211 ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: defer exposing anon_fd until after copy_to_user() succeeds After installing the anonymous fd, we can now see it in userland and close it. However, at this point we may not have gotten the reference count of the cache, but we will put it during colse fd, so this may cause a cache UAF. So grab the cache reference count before fd_install(). In addition, by kernel convention, fd is taken over by the user land after fd_install(), and the kernel should not call close_fd() after that, i.e., it should call fd_install() after everything is ready, thus fd_install() is called after copy_to_user() succeeds. Уязвимость компонента cachefiles ядра операционной системы Linux связана с использованием памяти после её освобождения. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/huge_memory: don't unpoison huge_zero_folio When I did memory failure tests recently, below panic occurs: kernel BUG at include/linux/mm.h:1135! invalid opcode: 0000 [#1] PREEMPT SMP NOPTI CPU: 9 PID: 137 Comm: kswapd1 Not tainted 6.9.0-rc4-00491-gd5ce28f156fe-dirty #14 RIP: 0010:shrink_huge_zero_page_scan+0x168/0x1a0 RSP: 0018:ffff9933c6c57bd0 EFLAGS: 00000246 RAX: 000000000000003e RBX: 0000000000000000 RCX: ffff88f61fc5c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff88f61fc5c9c0 RBP: ffffcd7c446b0000 R08: ffffffff9a9405f0 R09: 0000000000005492 R10: 00000000000030ea R11: ffffffff9a9405f0 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88e703c4ac00 FS: 0000000000000000(0000) GS:ffff88f61fc40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f4da6e9878 CR3: 0000000c71048000 CR4: 00000000000006f0 Call Trace: <TASK> do_shrink_slab+0x14f/0x6a0 shrink_slab+0xca/0x8c0 shrink_node+0x2d0/0x7d0 balance_pgdat+0x33a/0x720 kswapd+0x1f3/0x410 kthread+0xd5/0x100 ret_from_fork+0x2f/0x50 ret_from_fork_asm+0x1a/0x30 </TASK> Modules linked in: mce_inject hwpoison_inject ---[ end trace 0000000000000000 ]--- RIP: 0010:shrink_huge_zero_page_scan+0x168/0x1a0 RSP: 0018:ffff9933c6c57bd0 EFLAGS: 00000246 RAX: 000000000000003e RBX: 0000000000000000 RCX: ffff88f61fc5c9c8 RDX: 0000000000000000 RSI: 0000000000000027 RDI: ffff88f61fc5c9c0 RBP: ffffcd7c446b0000 R08: ffffffff9a9405f0 R09: 0000000000005492 R10: 00000000000030ea R11: ffffffff9a9405f0 R12: 0000000000000000 R13: 0000000000000000 R14: 0000000000000000 R15: ffff88e703c4ac00 FS: 0000000000000000(0000) GS:ffff88f61fc40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 000055f4da6e9878 CR3: 0000000c71048000 CR4: 00000000000006f0 The root cause is that HWPoison flag will be set for huge_zero_folio without increasing the folio refcnt. But then unpoison_memory() will decrease the folio refcnt unexpectedly as it appears like a successfully hwpoisoned folio leading to VM_BUG_ON_PAGE(page_ref_count(page) == 0) when releasing huge_zero_folio. Skip unpoisoning huge_zero_folio in unpoison_memory() to fix this issue. We're not prepared to unpoison huge_zero_folio yet. Уязвимость компонентов mm/huge_memory ядра операционной системы Linux связана с недостатками обработки исключений. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: riscv: rewrite __kernel_map_pages() to fix sleeping in invalid context __kernel_map_pages() is a debug function which clears the valid bit in page table entry for deallocated pages to detect illegal memory accesses to freed pages. This function set/clear the valid bit using __set_memory(). __set_memory() acquires init_mm's semaphore, and this operation may sleep. This is problematic, because __kernel_map_pages() can be called in atomic context, and thus is illegal to sleep. An example warning that this causes: BUG: sleeping function called from invalid context at kernel/locking/rwsem.c:1578 in_atomic(): 1, irqs_disabled(): 0, non_block: 0, pid: 2, name: kthreadd preempt_count: 2, expected: 0 CPU: 0 PID: 2 Comm: kthreadd Not tainted 6.9.0-g1d4c6d784ef6 #37 Hardware name: riscv-virtio,qemu (DT) Call Trace: [<ffffffff800060dc>] dump_backtrace+0x1c/0x24 [<ffffffff8091ef6e>] show_stack+0x2c/0x38 [<ffffffff8092baf8>] dump_stack_lvl+0x5a/0x72 [<ffffffff8092bb24>] dump_stack+0x14/0x1c [<ffffffff8003b7ac>] __might_resched+0x104/0x10e [<ffffffff8003b7f4>] __might_sleep+0x3e/0x62 [<ffffffff8093276a>] down_write+0x20/0x72 [<ffffffff8000cf00>] __set_memory+0x82/0x2fa [<ffffffff8000d324>] __kernel_map_pages+0x5a/0xd4 [<ffffffff80196cca>] __alloc_pages_bulk+0x3b2/0x43a [<ffffffff8018ee82>] __vmalloc_node_range+0x196/0x6ba [<ffffffff80011904>] copy_process+0x72c/0x17ec [<ffffffff80012ab4>] kernel_clone+0x60/0x2fe [<ffffffff80012f62>] kernel_thread+0x82/0xa0 [<ffffffff8003552c>] kthreadd+0x14a/0x1be [<ffffffff809357de>] ret_from_fork+0xe/0x1c Rewrite this function with apply_to_existing_page_range(). It is fine to not have any locking, because __kernel_map_pages() works with pages being allocated/deallocated and those pages are not changed by anyone else in the meantime. Уязвимость компонента pageattr.c ядра операционной системы Linux связана с использованием блокирующего кода в однопоточном, неблокирующем контексте. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/exynos: hdmi: report safe 640x480 mode as a fallback when no EDID found When reading EDID fails and driver reports no modes available, the DRM core adds an artificial 1024x786 mode to the connector. Unfortunately some variants of the Exynos HDMI (like the one in Exynos4 SoCs) are not able to drive such mode, so report a safe 640x480 mode instead of nothing in case of the EDID reading failure. This fixes the following issue observed on Trats2 board since commit 13d5b040363c ("drm/exynos: do not return negative values from .get_modes()"): [drm] Exynos DRM: using 11c00000.fimd device for DMA mapping operations exynos-drm exynos-drm: bound 11c00000.fimd (ops fimd_component_ops) exynos-drm exynos-drm: bound 12c10000.mixer (ops mixer_component_ops) exynos-dsi 11c80000.dsi: [drm:samsung_dsim_host_attach] Attached s6e8aa0 device (lanes:4 bpp:24 mode-flags:0x10b) exynos-drm exynos-drm: bound 11c80000.dsi (ops exynos_dsi_component_ops) exynos-drm exynos-drm: bound 12d00000.hdmi (ops hdmi_component_ops) [drm] Initialized exynos 1.1.0 20180330 for exynos-drm on minor 1 exynos-hdmi 12d00000.hdmi: [drm:hdmiphy_enable.part.0] *ERROR* PLL could not reach steady state panel-samsung-s6e8aa0 11c80000.dsi.0: ID: 0xa2, 0x20, 0x8c exynos-mixer 12c10000.mixer: timeout waiting for VSYNC ------------[ cut here ]------------ WARNING: CPU: 1 PID: 11 at drivers/gpu/drm/drm_atomic_helper.c:1682 drm_atomic_helper_wait_for_vblanks.part.0+0x2b0/0x2b8 [CRTC:70:crtc-1] vblank wait timed out Modules linked in: CPU: 1 PID: 11 Comm: kworker/u16:0 Not tainted 6.9.0-rc5-next-20240424 #14913 Hardware name: Samsung Exynos (Flattened Device Tree) Workqueue: events_unbound deferred_probe_work_func Call trace: unwind_backtrace from show_stack+0x10/0x14 show_stack from dump_stack_lvl+0x68/0x88 dump_stack_lvl from __warn+0x7c/0x1c4 __warn from warn_slowpath_fmt+0x11c/0x1a8 warn_slowpath_fmt from drm_atomic_helper_wait_for_vblanks.part.0+0x2b0/0x2b8 drm_atomic_helper_wait_for_vblanks.part.0 from drm_atomic_helper_commit_tail_rpm+0x7c/0x8c drm_atomic_helper_commit_tail_rpm from commit_tail+0x9c/0x184 commit_tail from drm_atomic_helper_commit+0x168/0x190 drm_atomic_helper_commit from drm_atomic_commit+0xb4/0xe0 drm_atomic_commit from drm_client_modeset_commit_atomic+0x23c/0x27c drm_client_modeset_commit_atomic from drm_client_modeset_commit_locked+0x60/0x1cc drm_client_modeset_commit_locked from drm_client_modeset_commit+0x24/0x40 drm_client_modeset_commit from __drm_fb_helper_restore_fbdev_mode_unlocked+0x9c/0xc4 __drm_fb_helper_restore_fbdev_mode_unlocked from drm_fb_helper_set_par+0x2c/0x3c drm_fb_helper_set_par from fbcon_init+0x3d8/0x550 fbcon_init from visual_init+0xc0/0x108 visual_init from do_bind_con_driver+0x1b8/0x3a4 do_bind_con_driver from do_take_over_console+0x140/0x1ec do_take_over_console from do_fbcon_takeover+0x70/0xd0 do_fbcon_takeover from fbcon_fb_registered+0x19c/0x1ac fbcon_fb_registered from register_framebuffer+0x190/0x21c register_framebuffer from __drm_fb_helper_initial_config_and_unlock+0x350/0x574 __drm_fb_helper_initial_config_and_unlock from exynos_drm_fbdev_client_hotplug+0x6c/0xb0 exynos_drm_fbdev_client_hotplug from drm_client_register+0x58/0x94 drm_client_register from exynos_drm_bind+0x160/0x190 exynos_drm_bind from try_to_bring_up_aggregate_device+0x200/0x2d8 try_to_bring_up_aggregate_device from __component_add+0xb0/0x170 __component_add from mixer_probe+0x74/0xcc mixer_probe from platform_probe+0x5c/0xb8 platform_probe from really_probe+0xe0/0x3d8 really_probe from __driver_probe_device+0x9c/0x1e4 __driver_probe_device from driver_probe_device+0x30/0xc0 driver_probe_device from __device_attach_driver+0xa8/0x120 __device_attach_driver from bus_for_each_drv+0x80/0xcc bus_for_each_drv from __device_attach+0xac/0x1fc __device_attach from bus_probe_device+0x8c/0x90 bus_probe_device from deferred_probe_work_func+0 ---truncated--- Уязвимость компонента hdmi ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: bnxt_en: Adjust logging of firmware messages in case of released token in __hwrm_send() In case of token is released due to token->state == BNXT_HWRM_DEFERRED, released token (set to NULL) is used in log messages. This issue is expected to be prevented by HWRM_ERR_CODE_PF_UNAVAILABLE error code. But this error code is returned by recent firmware. So some firmware may not return it. This may lead to NULL pointer dereference. Adjust this issue by adding token pointer check. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента bnxt_en ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/i915/dpt: Make DPT object unshrinkable In some scenarios, the DPT object gets shrunk but the actual framebuffer did not and thus its still there on the DPT's vm->bound_list. Then it tries to rewrite the PTEs via a stale CPU mapping. This causes panic. [vsyrjala: Add TODO comment] (cherry picked from commit 51064d471c53dcc8eddd2333c3f1c1d9131ba36c) Уязвимость функции i915_gem_object_is_shrinkable() драйвера DRM (drivers/gpu/drm/i915/gem/i915_gem_object.h) ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xhci: Handle TD clearing for multiple streams case When multiple streams are in use, multiple TDs might be in flight when an endpoint is stopped. We need to issue a Set TR Dequeue Pointer for each, to ensure everything is reset properly and the caches cleared. Change the logic so that any N>1 TDs found active for different streams are deferred until after the first one is processed, calling xhci_invalidate_cancelled_tds() again from xhci_handle_cmd_set_deq() to queue another command until we are done with all of them. Also change the error/"should never happen" paths to ensure we at least clear any affected TDs, even if we can't issue a command to clear the hardware cache, and complain loudly with an xhci_warn() if this ever happens. This problem case dates back to commit e9df17eb1408 ("USB: xhci: Correct assumptions about number of rings per endpoint.") early on in the XHCI driver's life, when stream support was first added. It was then identified but not fixed nor made into a warning in commit 674f8438c121 ("xhci: split handling halted endpoints into two steps"), which added a FIXME comment for the problem case (without materially changing the behavior as far as I can tell, though the new logic made the problem more obvious). Then later, in commit 94f339147fc3 ("xhci: Fix failure to give back some cached cancelled URBs."), it was acknowledged again. [Mathias: commit 94f339147fc3 ("xhci: Fix failure to give back some cached cancelled URBs.") was a targeted regression fix to the previously mentioned patch. Users reported issues with usb stuck after unmounting/disconnecting UAS devices. This rolled back the TD clearing of multiple streams to its original state.] Apparently the commit author was aware of the problem (yet still chose to submit it): It was still mentioned as a FIXME, an xhci_dbg() was added to log the problem condition, and the remaining issue was mentioned in the commit description. The choice of making the log type xhci_dbg() for what is, at this point, a completely unhandled and known broken condition is puzzling and unfortunate, as it guarantees that no actual users would see the log in production, thereby making it nigh undebuggable (indeed, even if you turn on DEBUG, the message doesn't really hint at there being a problem at all). It took me *months* of random xHC crashes to finally find a reliable repro and be able to do a deep dive debug session, which could all have been avoided had this unhandled, broken condition been actually reported with a warning, as it should have been as a bug intentionally left in unfixed (never mind that it shouldn't have been left in at all). > Another fix to solve clearing the caches of all stream rings with > cancelled TDs is needed, but not as urgent. 3 years after that statement and 14 years after the original bug was introduced, I think it's finally time to fix it. And maybe next time let's not leave bugs unfixed (that are actually worse than the original bug), and let's actually get people to review kernel commits please. Fixes xHC crashes and IOMMU faults with UAS devices when handling errors/faults. Easiest repro is to use `hdparm` to mark an early sector (e.g. 1024) on a disk as bad, then `cat /dev/sdX > /dev/null` in a loop. At least in the case of JMicron controllers, the read errors end up having to cancel two TDs (for two queued requests to different streams) and the one that didn't get cleared properly ends up faulting the xHC entirely when it tries to access DMA pages that have since been unmapped, referred to by the stale TDs. This normally happens quickly (after two or three loops). After this fix, I left the `cat` in a loop running overnight and experienced no xHC failures, with all read errors recovered properly. Repro'd and tested on an Apple M1 Mac Mini (dwc3 host). On systems without an IOMMU, this bug would instead silently corrupt freed memory, making this a ---truncated--- Уязвимость компонентов xhci-ring.c, xhci.h ядра операционной системы Linux связана с отсутствием синхронизации. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: check n_ssids before accessing the ssids In some versions of cfg80211, the ssids poinet might be a valid one even though n_ssids is 0. Accessing the pointer in this case will cuase an out-of-bound access. Fix this by checking n_ssids first. Уязвимость компонента iwlwifi/mvm/scan.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mptcp: ensure snd_una is properly initialized on connect This is strictly related to commit fb7a0d334894 ("mptcp: ensure snd_nxt is properly initialized on connect"). It turns out that syzkaller can trigger the retransmit after fallback and before processing any other incoming packet - so that snd_una is still left uninitialized. Address the issue explicitly initializing snd_una together with snd_nxt and write_seq. Уязвимость компонента mptcp ядра операционной системы Linux связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-908')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/exynos/vidi: fix memory leak in .get_modes() The duplicated EDID is never freed. Fix it. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: HID: logitech-dj: Fix memory leak in logi_dj_recv_switch_to_dj_mode() Fix a memory leak on logi_dj_recv_send_report() error path. Уязвимость ядра операционной системы Linux связана с неправильным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: cachefiles: flush all requests after setting CACHEFILES_DEAD In ondemand mode, when the daemon is processing an open request, if the kernel flags the cache as CACHEFILES_DEAD, the cachefiles_daemon_write() will always return -EIO, so the daemon can't pass the copen to the kernel. Then the kernel process that is waiting for the copen triggers a hung_task. Since the DEAD state is irreversible, it can only be exited by closing /dev/cachefiles. Therefore, after calling cachefiles_io_error() to mark the cache as CACHEFILES_DEAD, if in ondemand mode, flush all requests to avoid the above hungtask. We may still be able to read some of the cached data before closing the fd of /dev/cachefiles. Note that this relies on the patch that adds reference counting to the req, otherwise it may UAF. Уязвимость компонентов daemon.c, internal.h ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: gve: Clear napi->skb before dev_kfree_skb_any() gve_rx_free_skb incorrectly leaves napi->skb referencing an skb after it is freed with dev_kfree_skb_any(). This can result in a subsequent call to napi_get_frags returning a dangling pointer. Fix this by clearing napi->skb before the skb is freed. Уязвимость функции dev_kfree_skb_any() (drivers/net/ethernet/google/gve/gve_rx_dqo.c) ядра операционной системы Linux связана с повторным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: landlock: Fix d_parent walk The WARN_ON_ONCE() in collect_domain_accesses() can be triggered when trying to link a root mount point. This cannot work in practice because this directory is mounted, but the VFS check is done after the call to security_path_link(). Do not use source directory's d_parent when the source directory is the mount point. [mic: Fix commit message] Уязвимость компонента landlock ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net: wwan: iosm: Fix tainted pointer delete is case of region creation fail In case of region creation fail in ipc_devlink_create_region(), previously created regions delete process starts from tainted pointer which actually holds error code value. Fix this bug by decreasing region index before delete. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента iosm_ipc_devlink.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/mlx5: Fix tainted pointer delete is case of flow rules creation fail In case of flow rule creation fail in mlx5_lag_create_port_sel_table(), instead of previously created rules, the tainted pointer is deleted deveral times. Fix this bug by using correct flow rules pointers. Found by Linux Verification Center (linuxtesting.org) with SVACE. Уязвимость компонента port_sel.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-415')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: iwlwifi: mvm: don't read past the mfuart notifcation In case the firmware sends a notification that claims it has more data than it has, we will read past that was allocated for the notification. Remove the print of the buffer, we won't see it by default. If needed, we can see the content with tracing. This was reported by KFENCE. Уязвимость компонента fw.c ядра операционной системы Linux связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:A/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:H', score=8.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mac80211: mesh: Fix leak of mesh_preq_queue objects The hwmp code use objects of type mesh_preq_queue, added to a list in ieee80211_if_mesh, to keep track of mpath we need to resolve. If the mpath gets deleted, ex mesh interface is removed, the entries in that list will never get cleaned. Fix this by flushing all corresponding items of the preq_queue in mesh_path_flush_pending(). This should take care of KASAN reports like this: unreferenced object 0xffff00000668d800 (size 128): comm "kworker/u8:4", pid 67, jiffies 4295419552 (age 1836.444s) hex dump (first 32 bytes): 00 1f 05 09 00 00 ff ff 00 d5 68 06 00 00 ff ff ..........h..... 8e 97 ea eb 3e b8 01 00 00 00 00 00 00 00 00 00 ....>........... backtrace: [<000000007302a0b6>] __kmem_cache_alloc_node+0x1e0/0x35c [<00000000049bd418>] kmalloc_trace+0x34/0x80 [<0000000000d792bb>] mesh_queue_preq+0x44/0x2a8 [<00000000c99c3696>] mesh_nexthop_resolve+0x198/0x19c [<00000000926bf598>] ieee80211_xmit+0x1d0/0x1f4 [<00000000fc8c2284>] __ieee80211_subif_start_xmit+0x30c/0x764 [<000000005926ee38>] ieee80211_subif_start_xmit+0x9c/0x7a4 [<000000004c86e916>] dev_hard_start_xmit+0x174/0x440 [<0000000023495647>] __dev_queue_xmit+0xe24/0x111c [<00000000cfe9ca78>] batadv_send_skb_packet+0x180/0x1e4 [<000000007bacc5d5>] batadv_v_elp_periodic_work+0x2f4/0x508 [<00000000adc3cd94>] process_one_work+0x4b8/0xa1c [<00000000b36425d1>] worker_thread+0x9c/0x634 [<0000000005852dd5>] kthread+0x1bc/0x1c4 [<000000005fccd770>] ret_from_fork+0x10/0x20 unreferenced object 0xffff000009051f00 (size 128): comm "kworker/u8:4", pid 67, jiffies 4295419553 (age 1836.440s) hex dump (first 32 bytes): 90 d6 92 0d 00 00 ff ff 00 d8 68 06 00 00 ff ff ..........h..... 36 27 92 e4 02 e0 01 00 00 58 79 06 00 00 ff ff 6'.......Xy..... backtrace: [<000000007302a0b6>] __kmem_cache_alloc_node+0x1e0/0x35c [<00000000049bd418>] kmalloc_trace+0x34/0x80 [<0000000000d792bb>] mesh_queue_preq+0x44/0x2a8 [<00000000c99c3696>] mesh_nexthop_resolve+0x198/0x19c [<00000000926bf598>] ieee80211_xmit+0x1d0/0x1f4 [<00000000fc8c2284>] __ieee80211_subif_start_xmit+0x30c/0x764 [<000000005926ee38>] ieee80211_subif_start_xmit+0x9c/0x7a4 [<000000004c86e916>] dev_hard_start_xmit+0x174/0x440 [<0000000023495647>] __dev_queue_xmit+0xe24/0x111c [<00000000cfe9ca78>] batadv_send_skb_packet+0x180/0x1e4 [<000000007bacc5d5>] batadv_v_elp_periodic_work+0x2f4/0x508 [<00000000adc3cd94>] process_one_work+0x4b8/0xa1c [<00000000b36425d1>] worker_thread+0x9c/0x634 [<0000000005852dd5>] kthread+0x1bc/0x1c4 [<000000005fccd770>] ret_from_fork+0x10/0x20 Уязвимость компонента mesh_pathtbl.c ядра операционной системы Linux связана с утечкой ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-401')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ocfs2: fix races between hole punching and AIO+DIO After commit "ocfs2: return real error code in ocfs2_dio_wr_get_block", fstests/generic/300 become from always failed to sometimes failed: ======================================================================== [ 473.293420 ] run fstests generic/300 [ 475.296983 ] JBD2: Ignoring recovery information on journal [ 475.302473 ] ocfs2: Mounting device (253,1) on (node local, slot 0) with ordered data mode. [ 494.290998 ] OCFS2: ERROR (device dm-1): ocfs2_change_extent_flag: Owner 5668 has an extent at cpos 78723 which can no longer be found [ 494.291609 ] On-disk corruption discovered. Please run fsck.ocfs2 once the filesystem is unmounted. [ 494.292018 ] OCFS2: File system is now read-only. [ 494.292224 ] (kworker/19:11,2628,19):ocfs2_mark_extent_written:5272 ERROR: status = -30 [ 494.292602 ] (kworker/19:11,2628,19):ocfs2_dio_end_io_write:2374 ERROR: status = -3 fio: io_u error on file /mnt/scratch/racer: Read-only file system: write offset=460849152, buflen=131072 ========================================================================= In __blockdev_direct_IO, ocfs2_dio_wr_get_block is called to add unwritten extents to a list. extents are also inserted into extent tree in ocfs2_write_begin_nolock. Then another thread call fallocate to puch a hole at one of the unwritten extent. The extent at cpos was removed by ocfs2_remove_extent(). At end io worker thread, ocfs2_search_extent_list found there is no such extent at the cpos. T1 T2 T3 inode lock ... insert extents ... inode unlock ocfs2_fallocate __ocfs2_change_file_space inode lock lock ip_alloc_sem ocfs2_remove_inode_range inode ocfs2_remove_btree_range ocfs2_remove_extent ^---remove the extent at cpos 78723 ... unlock ip_alloc_sem inode unlock ocfs2_dio_end_io ocfs2_dio_end_io_write lock ip_alloc_sem ocfs2_mark_extent_written ocfs2_change_extent_flag ocfs2_search_extent_list ^---failed to find extent ... unlock ip_alloc_sem In most filesystems, fallocate is not compatible with racing with AIO+DIO, so fix it by adding to wait for all dio before fallocate/punch_hole like ext4. Уязвимость компонента ocfs2 ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ima: Avoid blocking in RCU read-side critical section A panic happens in ima_match_policy: BUG: unable to handle kernel NULL pointer dereference at 0000000000000010 PGD 42f873067 P4D 0 Oops: 0000 [#1] SMP NOPTI CPU: 5 PID: 1286325 Comm: kubeletmonit.sh Kdump: loaded Tainted: P Hardware name: QEMU Standard PC (i440FX + PIIX, 1996), BIOS 0.0.0 02/06/2015 RIP: 0010:ima_match_policy+0x84/0x450 Code: 49 89 fc 41 89 cf 31 ed 89 44 24 14 eb 1c 44 39 7b 18 74 26 41 83 ff 05 74 20 48 8b 1b 48 3b 1d f2 b9 f4 00 0f 84 9c 01 00 00 <44> 85 73 10 74 ea 44 8b 6b 14 41 f6 c5 01 75 d4 41 f6 c5 02 74 0f RSP: 0018:ff71570009e07a80 EFLAGS: 00010207 RAX: 0000000000000000 RBX: 0000000000000000 RCX: 0000000000000200 RDX: ffffffffad8dc7c0 RSI: 0000000024924925 RDI: ff3e27850dea2000 RBP: 0000000000000000 R08: 0000000000000000 R09: ffffffffabfce739 R10: ff3e27810cc42400 R11: 0000000000000000 R12: ff3e2781825ef970 R13: 00000000ff3e2785 R14: 000000000000000c R15: 0000000000000001 FS: 00007f5195b51740(0000) GS:ff3e278b12d40000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000010 CR3: 0000000626d24002 CR4: 0000000000361ee0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: ima_get_action+0x22/0x30 process_measurement+0xb0/0x830 ? page_add_file_rmap+0x15/0x170 ? alloc_set_pte+0x269/0x4c0 ? prep_new_page+0x81/0x140 ? simple_xattr_get+0x75/0xa0 ? selinux_file_open+0x9d/0xf0 ima_file_check+0x64/0x90 path_openat+0x571/0x1720 do_filp_open+0x9b/0x110 ? page_counter_try_charge+0x57/0xc0 ? files_cgroup_alloc_fd+0x38/0x60 ? __alloc_fd+0xd4/0x250 ? do_sys_open+0x1bd/0x250 do_sys_open+0x1bd/0x250 do_syscall_64+0x5d/0x1d0 entry_SYSCALL_64_after_hwframe+0x65/0xca Commit c7423dbdbc9e ("ima: Handle -ESTALE returned by ima_filter_rule_match()") introduced call to ima_lsm_copy_rule within a RCU read-side critical section which contains kmalloc with GFP_KERNEL. This implies a possible sleep and violates limitations of RCU read-side critical sections on non-PREEMPT systems. Sleeping within RCU read-side critical section might cause synchronize_rcu() returning early and break RCU protection, allowing a UAF to happen. The root cause of this issue could be described as follows: | Thread A | Thread B | | |ima_match_policy | | | rcu_read_lock | |ima_lsm_update_rule | | | synchronize_rcu | | | | kmalloc(GFP_KERNEL)| | | sleep | ==> synchronize_rcu returns early | kfree(entry) | | | | entry = entry->next| ==> UAF happens and entry now becomes NULL (or could be anything). | | entry->action | ==> Accessing entry might cause panic. To fix this issue, we are converting all kmalloc that is called within RCU read-side critical section to use GFP_ATOMIC. [PM: fixed missing comment, long lines, !CONFIG_IMA_LSM_RULES case] Уязвимость функции smack_post_notification() компонента ima ядра операционной системы Linux связана с утечкой памяти. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mm/page_table_check: fix crash on ZONE_DEVICE Not all pages may apply to pgtable check. One example is ZONE_DEVICE pages: they map PFNs directly, and they don't allocate page_ext at all even if there's struct page around. One may reference devm_memremap_pages(). When both ZONE_DEVICE and page-table-check enabled, then try to map some dax memories, one can trigger kernel bug constantly now when the kernel was trying to inject some pfn maps on the dax device: kernel BUG at mm/page_table_check.c:55! While it's pretty legal to use set_pxx_at() for ZONE_DEVICE pages for page fault resolutions, skip all the checks if page_ext doesn't even exist in pgtable checker, which applies to ZONE_DEVICE but maybe more. Уязвимость компонента page_table_check.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: Fix a data race on last_boosted_vcpu in kvm_vcpu_on_spin() Use {READ,WRITE}_ONCE() to access kvm->last_boosted_vcpu to ensure the loads and stores are atomic. In the extremely unlikely scenario the compiler tears the stores, it's theoretically possible for KVM to attempt to get a vCPU using an out-of-bounds index, e.g. if the write is split into multiple 8-bit stores, and is paired with a 32-bit load on a VM with 257 vCPUs: CPU0 CPU1 last_boosted_vcpu = 0xff; (last_boosted_vcpu = 0x100) last_boosted_vcpu[15:8] = 0x01; i = (last_boosted_vcpu = 0x1ff) last_boosted_vcpu[7:0] = 0x00; vcpu = kvm->vcpu_array[0x1ff]; As detected by KCSAN: BUG: KCSAN: data-race in kvm_vcpu_on_spin [kvm] / kvm_vcpu_on_spin [kvm] write to 0xffffc90025a92344 of 4 bytes by task 4340 on cpu 16: kvm_vcpu_on_spin (arch/x86/kvm/../../../virt/kvm/kvm_main.c:4112) kvm handle_pause (arch/x86/kvm/vmx/vmx.c:5929) kvm_intel vmx_handle_exit (arch/x86/kvm/vmx/vmx.c:? arch/x86/kvm/vmx/vmx.c:6606) kvm_intel vcpu_run (arch/x86/kvm/x86.c:11107 arch/x86/kvm/x86.c:11211) kvm kvm_arch_vcpu_ioctl_run (arch/x86/kvm/x86.c:?) kvm kvm_vcpu_ioctl (arch/x86/kvm/../../../virt/kvm/kvm_main.c:?) kvm __se_sys_ioctl (fs/ioctl.c:52 fs/ioctl.c:904 fs/ioctl.c:890) __x64_sys_ioctl (fs/ioctl.c:890) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) read to 0xffffc90025a92344 of 4 bytes by task 4342 on cpu 4: kvm_vcpu_on_spin (arch/x86/kvm/../../../virt/kvm/kvm_main.c:4069) kvm handle_pause (arch/x86/kvm/vmx/vmx.c:5929) kvm_intel vmx_handle_exit (arch/x86/kvm/vmx/vmx.c:? arch/x86/kvm/vmx/vmx.c:6606) kvm_intel vcpu_run (arch/x86/kvm/x86.c:11107 arch/x86/kvm/x86.c:11211) kvm kvm_arch_vcpu_ioctl_run (arch/x86/kvm/x86.c:?) kvm kvm_vcpu_ioctl (arch/x86/kvm/../../../virt/kvm/kvm_main.c:?) kvm __se_sys_ioctl (fs/ioctl.c:52 fs/ioctl.c:904 fs/ioctl.c:890) __x64_sys_ioctl (fs/ioctl.c:890) x64_sys_call (arch/x86/entry/syscall_64.c:33) do_syscall_64 (arch/x86/entry/common.c:?) entry_SYSCALL_64_after_hwframe (arch/x86/entry/entry_64.S:130) value changed: 0x00000012 -> 0x00000000 Уязвимость компонента kvm_main.c ядра операционной системы Linux связана с одновременным выполнением с использованием общего ресурса с неправильной синхронизацией. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:C/C:L/I:L/A:H', score=7.9) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: seg6: fix parameter passing when calling NF_HOOK() in End.DX4 and End.DX6 behaviors input_action_end_dx4() and input_action_end_dx6() are called NF_HOOK() for PREROUTING hook, in PREROUTING hook, we should passing a valid indev, and a NULL outdev to NF_HOOK(), otherwise may trigger a NULL pointer dereference, as below: [74830.647293] BUG: kernel NULL pointer dereference, address: 0000000000000090 [74830.655633] #PF: supervisor read access in kernel mode [74830.657888] #PF: error_code(0x0000) - not-present page [74830.659500] PGD 0 P4D 0 [74830.660450] Oops: 0000 [#1] PREEMPT SMP PTI ... [74830.664953] Hardware name: Red Hat KVM, BIOS 0.5.1 01/01/2011 [74830.666569] RIP: 0010:rpfilter_mt+0x44/0x15e [ipt_rpfilter] ... [74830.689725] Call Trace: [74830.690402] <IRQ> [74830.690953] ? show_trace_log_lvl+0x1c4/0x2df [74830.692020] ? show_trace_log_lvl+0x1c4/0x2df [74830.693095] ? ipt_do_table+0x286/0x710 [ip_tables] [74830.694275] ? __die_body.cold+0x8/0xd [74830.695205] ? page_fault_oops+0xac/0x140 [74830.696244] ? exc_page_fault+0x62/0x150 [74830.697225] ? asm_exc_page_fault+0x22/0x30 [74830.698344] ? rpfilter_mt+0x44/0x15e [ipt_rpfilter] [74830.699540] ipt_do_table+0x286/0x710 [ip_tables] [74830.700758] ? ip6_route_input+0x19d/0x240 [74830.701752] nf_hook_slow+0x3f/0xb0 [74830.702678] input_action_end_dx4+0x19b/0x1e0 [74830.703735] ? input_action_end_t+0xe0/0xe0 [74830.704734] seg6_local_input_core+0x2d/0x60 [74830.705782] lwtunnel_input+0x5b/0xb0 [74830.706690] __netif_receive_skb_one_core+0x63/0xa0 [74830.707825] process_backlog+0x99/0x140 [74830.709538] __napi_poll+0x2c/0x160 [74830.710673] net_rx_action+0x296/0x350 [74830.711860] __do_softirq+0xcb/0x2ac [74830.713049] do_softirq+0x63/0x90 input_action_end_dx4() passing a NULL indev to NF_HOOK(), and finally trigger a NULL dereference in rpfilter_mt()->rpfilter_is_loopback(): static bool rpfilter_is_loopback(const struct sk_buff *skb, const struct net_device *in) { // in is NULL return skb->pkt_type == PACKET_LOOPBACK || in->flags & IFF_LOOPBACK; } Уязвимость компонента net/ipv6/seg6_local.c ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: xfrm6: check ip6_dst_idev() return value in xfrm6_get_saddr() ip6_dst_idev() can return NULL, xfrm6_get_saddr() must act accordingly. syzbot reported: Oops: general protection fault, probably for non-canonical address 0xdffffc0000000000: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000000-0x0000000000000007] CPU: 1 PID: 12 Comm: kworker/u8:1 Not tainted 6.10.0-rc2-syzkaller-00383-gb8481381d4e2 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 Workqueue: wg-kex-wg1 wg_packet_handshake_send_worker RIP: 0010:xfrm6_get_saddr+0x93/0x130 net/ipv6/xfrm6_policy.c:64 Code: df 48 89 fa 48 c1 ea 03 80 3c 02 00 0f 85 97 00 00 00 4c 8b ab d8 00 00 00 48 b8 00 00 00 00 00 fc ff df 4c 89 ea 48 c1 ea 03 <80> 3c 02 00 0f 85 86 00 00 00 4d 8b 6d 00 e8 ca 13 47 01 48 b8 00 RSP: 0018:ffffc90000117378 EFLAGS: 00010246 RAX: dffffc0000000000 RBX: ffff88807b079dc0 RCX: ffffffff89a0d6d7 RDX: 0000000000000000 RSI: ffffffff89a0d6e9 RDI: ffff88807b079e98 RBP: ffff88807ad73248 R08: 0000000000000007 R09: fffffffffffff000 R10: ffff88807b079dc0 R11: 0000000000000007 R12: ffffc90000117480 R13: 0000000000000000 R14: 0000000000000000 R15: 0000000000000000 FS: 0000000000000000(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f4586d00440 CR3: 0000000079042000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> xfrm_get_saddr net/xfrm/xfrm_policy.c:2452 [inline] xfrm_tmpl_resolve_one net/xfrm/xfrm_policy.c:2481 [inline] xfrm_tmpl_resolve+0xa26/0xf10 net/xfrm/xfrm_policy.c:2541 xfrm_resolve_and_create_bundle+0x140/0x2570 net/xfrm/xfrm_policy.c:2835 xfrm_bundle_lookup net/xfrm/xfrm_policy.c:3070 [inline] xfrm_lookup_with_ifid+0x4d1/0x1e60 net/xfrm/xfrm_policy.c:3201 xfrm_lookup net/xfrm/xfrm_policy.c:3298 [inline] xfrm_lookup_route+0x3b/0x200 net/xfrm/xfrm_policy.c:3309 ip6_dst_lookup_flow+0x15c/0x1d0 net/ipv6/ip6_output.c:1256 send6+0x611/0xd20 drivers/net/wireguard/socket.c:139 wg_socket_send_skb_to_peer+0xf9/0x220 drivers/net/wireguard/socket.c:178 wg_socket_send_buffer_to_peer+0x12b/0x190 drivers/net/wireguard/socket.c:200 wg_packet_send_handshake_initiation+0x227/0x360 drivers/net/wireguard/send.c:40 wg_packet_handshake_send_worker+0x1c/0x30 drivers/net/wireguard/send.c:51 process_one_work+0x9fb/0x1b60 kernel/workqueue.c:3231 process_scheduled_works kernel/workqueue.c:3312 [inline] worker_thread+0x6c8/0xf70 kernel/workqueue.c:3393 kthread+0x2c1/0x3a0 kernel/kthread.c:389 ret_from_fork+0x45/0x80 arch/x86/kernel/process.c:147 ret_from_fork_asm+0x1a/0x30 arch/x86/entry/entry_64.S:244 Уязвимость компонента xfrm6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent possible NULL dereference in rt6_probe() syzbot caught a NULL dereference in rt6_probe() [1] Bail out if __in6_dev_get() returns NULL. [1] Oops: general protection fault, probably for non-canonical address 0xdffffc00000000cb: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x0000000000000658-0x000000000000065f] CPU: 1 PID: 22444 Comm: syz-executor.0 Not tainted 6.10.0-rc2-syzkaller-00383-gb8481381d4e2 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 04/02/2024 RIP: 0010:rt6_probe net/ipv6/route.c:656 [inline] RIP: 0010:find_match+0x8c4/0xf50 net/ipv6/route.c:758 Code: 14 fd f7 48 8b 85 38 ff ff ff 48 c7 45 b0 00 00 00 00 48 8d b8 5c 06 00 00 48 b8 00 00 00 00 00 fc ff df 48 89 fa 48 c1 ea 03 <0f> b6 14 02 48 89 f8 83 e0 07 83 c0 03 38 d0 7c 08 84 d2 0f 85 19 RSP: 0018:ffffc900034af070 EFLAGS: 00010203 RAX: dffffc0000000000 RBX: 0000000000000000 RCX: ffffc90004521000 RDX: 00000000000000cb RSI: ffffffff8990d0cd RDI: 000000000000065c RBP: ffffc900034af150 R08: 0000000000000005 R09: 0000000000000000 R10: 0000000000000001 R11: 0000000000000002 R12: 000000000000000a R13: 1ffff92000695e18 R14: ffff8880244a1d20 R15: 0000000000000000 FS: 00007f4844a5a6c0(0000) GS:ffff8880b9300000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000001b31b27000 CR3: 000000002d42c000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> rt6_nh_find_match+0xfa/0x1a0 net/ipv6/route.c:784 nexthop_for_each_fib6_nh+0x26d/0x4a0 net/ipv4/nexthop.c:1496 __find_rr_leaf+0x6e7/0xe00 net/ipv6/route.c:825 find_rr_leaf net/ipv6/route.c:853 [inline] rt6_select net/ipv6/route.c:897 [inline] fib6_table_lookup+0x57e/0xa30 net/ipv6/route.c:2195 ip6_pol_route+0x1cd/0x1150 net/ipv6/route.c:2231 pol_lookup_func include/net/ip6_fib.h:616 [inline] fib6_rule_lookup+0x386/0x720 net/ipv6/fib6_rules.c:121 ip6_route_output_flags_noref net/ipv6/route.c:2639 [inline] ip6_route_output_flags+0x1d0/0x640 net/ipv6/route.c:2651 ip6_dst_lookup_tail.constprop.0+0x961/0x1760 net/ipv6/ip6_output.c:1147 ip6_dst_lookup_flow+0x99/0x1d0 net/ipv6/ip6_output.c:1250 rawv6_sendmsg+0xdab/0x4340 net/ipv6/raw.c:898 inet_sendmsg+0x119/0x140 net/ipv4/af_inet.c:853 sock_sendmsg_nosec net/socket.c:730 [inline] __sock_sendmsg net/socket.c:745 [inline] sock_write_iter+0x4b8/0x5c0 net/socket.c:1160 new_sync_write fs/read_write.c:497 [inline] vfs_write+0x6b6/0x1140 fs/read_write.c:590 ksys_write+0x1f8/0x260 fs/read_write.c:643 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xcd/0x250 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ipv6: prevent possible NULL deref in fib6_nh_init() syzbot reminds us that in6_dev_get() can return NULL. fib6_nh_init() ip6_validate_gw( &idev ) ip6_route_check_nh( idev ) *idev = in6_dev_get(dev); // can be NULL Oops: general protection fault, probably for non-canonical address 0xdffffc00000000bc: 0000 [#1] PREEMPT SMP KASAN PTI KASAN: null-ptr-deref in range [0x00000000000005e0-0x00000000000005e7] CPU: 0 PID: 11237 Comm: syz-executor.3 Not tainted 6.10.0-rc2-syzkaller-00249-gbe27b8965297 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 06/07/2024 RIP: 0010:fib6_nh_init+0x640/0x2160 net/ipv6/route.c:3606 Code: 00 00 fc ff df 4c 8b 64 24 58 48 8b 44 24 28 4c 8b 74 24 30 48 89 c1 48 89 44 24 28 48 8d 98 e0 05 00 00 48 89 d8 48 c1 e8 03 <42> 0f b6 04 38 84 c0 0f 85 b3 17 00 00 8b 1b 31 ff 89 de e8 b8 8b RSP: 0018:ffffc900032775a0 EFLAGS: 00010202 RAX: 00000000000000bc RBX: 00000000000005e0 RCX: 0000000000000000 RDX: 0000000000000010 RSI: ffffc90003277a54 RDI: ffff88802b3a08d8 RBP: ffffc900032778b0 R08: 00000000000002fc R09: 0000000000000000 R10: 00000000000002fc R11: 0000000000000000 R12: ffff88802b3a08b8 R13: 1ffff9200064eec8 R14: ffffc90003277a00 R15: dffffc0000000000 FS: 00007f940feb06c0(0000) GS:ffff8880b9400000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 0000000000000000 CR3: 00000000245e8000 CR4: 00000000003506f0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 Call Trace: <TASK> ip6_route_info_create+0x99e/0x12b0 net/ipv6/route.c:3809 ip6_route_add+0x28/0x160 net/ipv6/route.c:3853 ipv6_route_ioctl+0x588/0x870 net/ipv6/route.c:4483 inet6_ioctl+0x21a/0x280 net/ipv6/af_inet6.c:579 sock_do_ioctl+0x158/0x460 net/socket.c:1222 sock_ioctl+0x629/0x8e0 net/socket.c:1341 vfs_ioctl fs/ioctl.c:51 [inline] __do_sys_ioctl fs/ioctl.c:907 [inline] __se_sys_ioctl+0xfc/0x170 fs/ioctl.c:893 do_syscall_x64 arch/x86/entry/common.c:52 [inline] do_syscall_64+0xf3/0x230 arch/x86/entry/common.c:83 entry_SYSCALL_64_after_hwframe+0x77/0x7f RIP: 0033:0x7f940f07cea9 Уязвимость компонента ipv6 ядра операционной системы Linux связана с ошибками разыменования указателя. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: mips: bmips: BCM6358: make sure CBR is correctly set It was discovered that some device have CBR address set to 0 causing kernel panic when arch_sync_dma_for_cpu_all is called. This was notice in situation where the system is booted from TP1 and BMIPS_GET_CBR() returns 0 instead of a valid address and !!(read_c0_brcm_cmt_local() & (1 << 31)); not failing. The current check whether RAC flush should be disabled or not are not enough hence lets check if CBR is a valid address or not. Уязвимость компонента setup.c ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tty: add the option to have a tty reject a new ldisc ... and use it to limit the virtual terminals to just N_TTY. They are kind of special, and in particular, the "con_write()" routine violates the "writes cannot sleep" rule that some ldiscs rely on. This avoids the BUG: sleeping function called from invalid context at kernel/printk/printk.c:2659 when N_GSM has been attached to a virtual console, and gsmld_write() calls con_write() while holding a spinlock, and con_write() then tries to get the console lock. Уязвимость компонентов tty_ldisc.c, vt.c, tty_driver.h ядра операционной системы Linux связана с неправильным контролем идентификаторов ресурсов. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: serial: imx: Introduce timeout when waiting on transmitter empty By waiting at most 1 second for USR2_TXDC to be set, we avoid a potential deadlock. In case of the timeout, there is not much we can do, so we simply ignore the transmitter state and optimistically try to continue. Уязвимость функции imx_uart_console_write() компонента serial ядра операционной системы Linux связана с неправильной блокировкой. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: MIPS: Octeon: Add PCIe link status check The standard PCIe configuration read-write interface is used to access the configuration space of the peripheral PCIe devices of the mips processor after the PCIe link surprise down, it can generate kernel panic caused by "Data bus error". So it is necessary to add PCIe link status check for system protection. When the PCIe link is down or in training, assigning a value of 0 to the configuration address can prevent read-write behavior to the configuration space of peripheral PCIe devices, thereby preventing kernel panic. Уязвимость функции __cvmx_pcie_build_config_addr() компонента mips ядра операционной системы Linux связана с неправильной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-754')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: Avoid hw_desc array overrun in dw-axi-dmac I have a use case where nr_buffers = 3 and in which each descriptor is composed by 3 segments, resulting in the DMA channel descs_allocated to be 9. Since axi_desc_put() handles the hw_desc considering the descs_allocated, this scenario would result in a kernel panic (hw_desc array will be overrun). To fix this, the proposal is to add a new member to the axi_dma_desc structure, where we keep the number of allocated hw_descs (axi_desc_alloc()) and use it in axi_desc_put() to handle the hw_desc array correctly. Additionally I propose to remove the axi_chan_start_first_queued() call after completing the transfer, since it was identified that unbalance can occur (started descriptors can be interrupted and transfer ignored due to DMA channel not being enabled). Уязвимость компонента dw-axi-dmac ядра операционной системы Linux связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: f2fs: remove clear SB_INLINECRYPT flag in default_options In f2fs_remount, SB_INLINECRYPT flag will be clear and re-set. If create new file or open file during this gap, these files will not use inlinecrypt. Worse case, it may lead to data corruption if wrappedkey_v0 is enable. Thread A: Thread B: -f2fs_remount -f2fs_file_open or f2fs_new_inode -default_options <- clear SB_INLINECRYPT flag -fscrypt_select_encryption_impl -parse_options <- set SB_INLINECRYPT again Уязвимость компонента f2fs ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:L/I:H/A:H', score=7.3) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ext4: do not create EA inode under buffer lock ext4_xattr_set_entry() creates new EA inodes while holding buffer lock on the external xattr block. This is problematic as it nests all the allocation locking (which acquires locks on other buffers) under the buffer lock. This can even deadlock when the filesystem is corrupted and e.g. quota file is setup to contain xattr block as data block. Move the allocation of EA inode out of ext4_xattr_set_entry() into the callers. Уязвимость функции ext4_xattr_set_entry() модуля fs/ext4/xattr.c файловой системы Ext4 ядра операционной системы Linux связана с недостаточной блокировкой ресурса. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: powerpc/pseries: Enforce hcall result buffer validity and size plpar_hcall(), plpar_hcall9(), and related functions expect callers to provide valid result buffers of certain minimum size. Currently this is communicated only through comments in the code and the compiler has no idea. For example, if I write a bug like this: long retbuf[PLPAR_HCALL_BUFSIZE]; // should be PLPAR_HCALL9_BUFSIZE plpar_hcall9(H_ALLOCATE_VAS_WINDOW, retbuf, ...); This compiles with no diagnostics emitted, but likely results in stack corruption at runtime when plpar_hcall9() stores results past the end of the array. (To be clear this is a contrived example and I have not found a real instance yet.) To make this class of error less likely, we can use explicitly-sized array parameters instead of pointers in the declarations for the hcall APIs. When compiled with -Warray-bounds[1], the code above now provokes a diagnostic like this: error: array argument is too small; is of size 32, callee requires at least 72 [-Werror,-Warray-bounds] 60 | plpar_hcall9(H_ALLOCATE_VAS_WINDOW, retbuf, | ^ ~~~~~~ [1] Enabled for LLVM builds but not GCC for now. See commit 0da6e5fd6c37 ("gcc: disable '-Warray-bounds' for gcc-13 too") and related changes. Уязвимость компонентов powerpc/pseries ядра операционной системы Linux связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/lima: mask irqs in timeout path before hard reset There is a race condition in which a rendering job might take just long enough to trigger the drm sched job timeout handler but also still complete before the hard reset is done by the timeout handler. This runs into race conditions not expected by the timeout handler. In some very specific cases it currently may result in a refcount imbalance on lima_pm_idle, with a stack dump such as: [10136.669170] WARNING: CPU: 0 PID: 0 at drivers/gpu/drm/lima/lima_devfreq.c:205 lima_devfreq_record_idle+0xa0/0xb0 ... [10136.669459] pc : lima_devfreq_record_idle+0xa0/0xb0 ... [10136.669628] Call trace: [10136.669634] lima_devfreq_record_idle+0xa0/0xb0 [10136.669646] lima_sched_pipe_task_done+0x5c/0xb0 [10136.669656] lima_gp_irq_handler+0xa8/0x120 [10136.669666] __handle_irq_event_percpu+0x48/0x160 [10136.669679] handle_irq_event+0x4c/0xc0 We can prevent that race condition entirely by masking the irqs at the beginning of the timeout handler, at which point we give up on waiting for that job entirely. The irqs will be enabled again at the next hard reset which is already done as a recovery by the timeout handler. Уязвимость компонентов drm/lima ядра операционной системы Linux связана с состоянием гонки. Эксплуатация уязвимости может позволить нарушителю повысить привилегии в системе [NistCWE(cwe='CWE-362')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: wifi: mt76: mt7921s: fix potential hung tasks during chip recovery During chip recovery (e.g. chip reset), there is a possible situation that kernel worker reset_work is holding the lock and waiting for kernel thread stat_worker to be parked, while stat_worker is waiting for the release of the same lock. It causes a deadlock resulting in the dumping of hung tasks messages and possible rebooting of the device. This patch prevents the execution of stat_worker during the chip recovery. Уязвимость ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: scsi: qedi: Fix crash while reading debugfs attribute The qedi_dbg_do_not_recover_cmd_read() function invokes sprintf() directly on a __user pointer, which results into the crash. To fix this issue, use a small local stack buffer for sprintf() and then call simple_read_from_buffer(), which in turns make the copy_to_user() call. BUG: unable to handle page fault for address: 00007f4801111000 PGD 8000000864df6067 P4D 8000000864df6067 PUD 864df7067 PMD 846028067 PTE 0 Oops: 0002 [#1] PREEMPT SMP PTI Hardware name: HPE ProLiant DL380 Gen10/ProLiant DL380 Gen10, BIOS U30 06/15/2023 RIP: 0010:memcpy_orig+0xcd/0x130 RSP: 0018:ffffb7a18c3ffc40 EFLAGS: 00010202 RAX: 00007f4801111000 RBX: 00007f4801111000 RCX: 000000000000000f RDX: 000000000000000f RSI: ffffffffc0bfd7a0 RDI: 00007f4801111000 RBP: ffffffffc0bfd7a0 R08: 725f746f6e5f6f64 R09: 3d7265766f636572 R10: ffffb7a18c3ffd08 R11: 0000000000000000 R12: 00007f4881110fff R13: 000000007fffffff R14: ffffb7a18c3ffca0 R15: ffffffffc0bfd7af FS: 00007f480118a740(0000) GS:ffff98e38af00000(0000) knlGS:0000000000000000 CS: 0010 DS: 0000 ES: 0000 CR0: 0000000080050033 CR2: 00007f4801111000 CR3: 0000000864b8e001 CR4: 00000000007706e0 DR0: 0000000000000000 DR1: 0000000000000000 DR2: 0000000000000000 DR3: 0000000000000000 DR6: 00000000fffe0ff0 DR7: 0000000000000400 PKRU: 55555554 Call Trace: <TASK> ? __die_body+0x1a/0x60 ? page_fault_oops+0x183/0x510 ? exc_page_fault+0x69/0x150 ? asm_exc_page_fault+0x22/0x30 ? memcpy_orig+0xcd/0x130 vsnprintf+0x102/0x4c0 sprintf+0x51/0x80 qedi_dbg_do_not_recover_cmd_read+0x2f/0x50 [qedi 6bcfdeeecdea037da47069eca2ba717c84a77324] full_proxy_read+0x50/0x80 vfs_read+0xa5/0x2e0 ? folio_add_new_anon_rmap+0x44/0xa0 ? set_pte_at+0x15/0x30 ? do_pte_missing+0x426/0x7f0 ksys_read+0xa5/0xe0 do_syscall_64+0x58/0x80 ? __count_memcg_events+0x46/0x90 ? count_memcg_event_mm+0x3d/0x60 ? handle_mm_fault+0x196/0x2f0 ? do_user_addr_fault+0x267/0x890 ? exc_page_fault+0x69/0x150 entry_SYSCALL_64_after_hwframe+0x72/0xdc RIP: 0033:0x7f4800f20b4d Уязвимость компонента scsi ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-125')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:H', score=7.1) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drop_monitor: replace spin_lock by raw_spin_lock trace_drop_common() is called with preemption disabled, and it acquires a spin_lock. This is problematic for RT kernels because spin_locks are sleeping locks in this configuration, which causes the following splat: BUG: sleeping function called from invalid context at kernel/locking/spinlock_rt.c:48 in_atomic(): 1, irqs_disabled(): 1, non_block: 0, pid: 449, name: rcuc/47 preempt_count: 1, expected: 0 RCU nest depth: 2, expected: 2 5 locks held by rcuc/47/449: #0: ff1100086ec30a60 ((softirq_ctrl.lock)){+.+.}-{2:2}, at: __local_bh_disable_ip+0x105/0x210 #1: ffffffffb394a280 (rcu_read_lock){....}-{1:2}, at: rt_spin_lock+0xbf/0x130 #2: ffffffffb394a280 (rcu_read_lock){....}-{1:2}, at: __local_bh_disable_ip+0x11c/0x210 #3: ffffffffb394a160 (rcu_callback){....}-{0:0}, at: rcu_do_batch+0x360/0xc70 #4: ff1100086ee07520 (&data->lock){+.+.}-{2:2}, at: trace_drop_common.constprop.0+0xb5/0x290 irq event stamp: 139909 hardirqs last enabled at (139908): [<ffffffffb1df2b33>] _raw_spin_unlock_irqrestore+0x63/0x80 hardirqs last disabled at (139909): [<ffffffffb19bd03d>] trace_drop_common.constprop.0+0x26d/0x290 softirqs last enabled at (139892): [<ffffffffb07a1083>] __local_bh_enable_ip+0x103/0x170 softirqs last disabled at (139898): [<ffffffffb0909b33>] rcu_cpu_kthread+0x93/0x1f0 Preemption disabled at: [<ffffffffb1de786b>] rt_mutex_slowunlock+0xab/0x2e0 CPU: 47 PID: 449 Comm: rcuc/47 Not tainted 6.9.0-rc2-rt1+ #7 Hardware name: Dell Inc. PowerEdge R650/0Y2G81, BIOS 1.6.5 04/15/2022 Call Trace: <TASK> dump_stack_lvl+0x8c/0xd0 dump_stack+0x14/0x20 __might_resched+0x21e/0x2f0 rt_spin_lock+0x5e/0x130 ? trace_drop_common.constprop.0+0xb5/0x290 ? skb_queue_purge_reason.part.0+0x1bf/0x230 trace_drop_common.constprop.0+0xb5/0x290 ? preempt_count_sub+0x1c/0xd0 ? _raw_spin_unlock_irqrestore+0x4a/0x80 ? __pfx_trace_drop_common.constprop.0+0x10/0x10 ? rt_mutex_slowunlock+0x26a/0x2e0 ? skb_queue_purge_reason.part.0+0x1bf/0x230 ? __pfx_rt_mutex_slowunlock+0x10/0x10 ? skb_queue_purge_reason.part.0+0x1bf/0x230 trace_kfree_skb_hit+0x15/0x20 trace_kfree_skb+0xe9/0x150 kfree_skb_reason+0x7b/0x110 skb_queue_purge_reason.part.0+0x1bf/0x230 ? __pfx_skb_queue_purge_reason.part.0+0x10/0x10 ? mark_lock.part.0+0x8a/0x520 ... trace_drop_common() also disables interrupts, but this is a minor issue because we could easily replace it with a local_lock. Replace the spin_lock with raw_spin_lock to avoid sleeping in atomic context. Уязвимость компонента drop_monitor ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H', score=7.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: batman-adv: bypass empty buckets in batadv_purge_orig_ref() Many syzbot reports are pointing to soft lockups in batadv_purge_orig_ref() [1] Root cause is unknown, but we can avoid spending too much time there and perhaps get more interesting reports. [1] watchdog: BUG: soft lockup - CPU#0 stuck for 27s! [kworker/u4:6:621] Modules linked in: irq event stamp: 6182794 hardirqs last enabled at (6182793): [<ffff8000801dae10>] __local_bh_enable_ip+0x224/0x44c kernel/softirq.c:386 hardirqs last disabled at (6182794): [<ffff80008ad66a78>] __el1_irq arch/arm64/kernel/entry-common.c:533 [inline] hardirqs last disabled at (6182794): [<ffff80008ad66a78>] el1_interrupt+0x24/0x68 arch/arm64/kernel/entry-common.c:551 softirqs last enabled at (6182792): [<ffff80008aab71c4>] spin_unlock_bh include/linux/spinlock.h:396 [inline] softirqs last enabled at (6182792): [<ffff80008aab71c4>] batadv_purge_orig_ref+0x114c/0x1228 net/batman-adv/originator.c:1287 softirqs last disabled at (6182790): [<ffff80008aab61dc>] spin_lock_bh include/linux/spinlock.h:356 [inline] softirqs last disabled at (6182790): [<ffff80008aab61dc>] batadv_purge_orig_ref+0x164/0x1228 net/batman-adv/originator.c:1271 CPU: 0 PID: 621 Comm: kworker/u4:6 Not tainted 6.8.0-rc7-syzkaller-g707081b61156 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 Workqueue: bat_events batadv_purge_orig pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : should_resched arch/arm64/include/asm/preempt.h:79 [inline] pc : __local_bh_enable_ip+0x228/0x44c kernel/softirq.c:388 lr : __local_bh_enable_ip+0x224/0x44c kernel/softirq.c:386 sp : ffff800099007970 x29: ffff800099007980 x28: 1fffe00018fce1bd x27: dfff800000000000 x26: ffff0000d2620008 x25: ffff0000c7e70de8 x24: 0000000000000001 x23: 1fffe00018e57781 x22: dfff800000000000 x21: ffff80008aab71c4 x20: ffff0001b40136c0 x19: ffff0000c72bbc08 x18: 1fffe0001a817bb0 x17: ffff800125414000 x16: ffff80008032116c x15: 0000000000000001 x14: 1fffe0001ee9d610 x13: 0000000000000000 x12: 0000000000000003 x11: 0000000000000000 x10: 0000000000ff0100 x9 : 0000000000000000 x8 : 00000000005e5789 x7 : ffff80008aab61dc x6 : 0000000000000000 x5 : 0000000000000000 x4 : 0000000000000001 x3 : 0000000000000000 x2 : 0000000000000006 x1 : 0000000000000080 x0 : ffff800125414000 Call trace: __daif_local_irq_enable arch/arm64/include/asm/irqflags.h:27 [inline] arch_local_irq_enable arch/arm64/include/asm/irqflags.h:49 [inline] __local_bh_enable_ip+0x228/0x44c kernel/softirq.c:386 __raw_spin_unlock_bh include/linux/spinlock_api_smp.h:167 [inline] _raw_spin_unlock_bh+0x3c/0x4c kernel/locking/spinlock.c:210 spin_unlock_bh include/linux/spinlock.h:396 [inline] batadv_purge_orig_ref+0x114c/0x1228 net/batman-adv/originator.c:1287 batadv_purge_orig+0x20/0x70 net/batman-adv/originator.c:1300 process_one_work+0x694/0x1204 kernel/workqueue.c:2633 process_scheduled_works kernel/workqueue.c:2706 [inline] worker_thread+0x938/0xef4 kernel/workqueue.c:2787 kthread+0x288/0x310 kernel/kthread.c:388 ret_from_fork+0x10/0x20 arch/arm64/kernel/entry.S:860 Sending NMI from CPU 0 to CPUs 1: NMI backtrace for cpu 1 CPU: 1 PID: 0 Comm: swapper/1 Not tainted 6.8.0-rc7-syzkaller-g707081b61156 #0 Hardware name: Google Google Compute Engine/Google Compute Engine, BIOS Google 02/29/2024 pstate: 80400005 (Nzcv daif +PAN -UAO -TCO -DIT -SSBS BTYPE=--) pc : arch_local_irq_enable+0x8/0xc arch/arm64/include/asm/irqflags.h:51 lr : default_idle_call+0xf8/0x128 kernel/sched/idle.c:103 sp : ffff800093a17d30 x29: ffff800093a17d30 x28: dfff800000000000 x27: 1ffff00012742fb4 x26: ffff80008ec9d000 x25: 0000000000000000 x24: 0000000000000002 x23: 1ffff00011d93a74 x22: ffff80008ec9d3a0 x21: 0000000000000000 x20: ffff0000c19dbc00 x19: ffff8000802d0fd8 x18: 1fffe00036804396 x17: ffff80008ec9d000 x16: ffff8000802d089c x15: 0000000000000001 ---truncated--- Уязвимость компонента batman-adv ядра операционной системы Linux связана с недостаточной блокировкой. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-667')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: tipc: force a dst refcount before doing decryption As it says in commit 3bc07321ccc2 ("xfrm: Force a dst refcount before entering the xfrm type handlers"): "Crypto requests might return asynchronous. In this case we leave the rcu protected region, so force a refcount on the skb's destination entry before we enter the xfrm type input/output handlers." On TIPC decryption path it has the same problem, and skb_dst_force() should be called before doing decryption to avoid a possible crash. Shuang reported this issue when this warning is triggered: [] WARNING: include/net/dst.h:337 tipc_sk_rcv+0x1055/0x1ea0 [tipc] [] Kdump: loaded Tainted: G W --------- - - 4.18.0-496.el8.x86_64+debug [] Workqueue: crypto cryptd_queue_worker [] RIP: 0010:tipc_sk_rcv+0x1055/0x1ea0 [tipc] [] Call Trace: [] tipc_sk_mcast_rcv+0x548/0xea0 [tipc] [] tipc_rcv+0xcf5/0x1060 [tipc] [] tipc_aead_decrypt_done+0x215/0x2e0 [tipc] [] cryptd_aead_crypt+0xdb/0x190 [] cryptd_queue_worker+0xed/0x190 [] process_one_work+0x93d/0x17e0 Уязвимость компонента tipc ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H', score=9.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: ACPICA: Revert "ACPICA: avoid Info: mapping multiple BARs. Your kernel is fine." Undo the modifications made in commit d410ee5109a1 ("ACPICA: avoid "Info: mapping multiple BARs. Your kernel is fine.""). The initial purpose of this commit was to stop memory mappings for operation regions from overlapping page boundaries, as it can trigger warnings if different page attributes are present. However, it was found that when this situation arises, mapping continues until the boundary's end, but there is still an attempt to read/write the entire length of the map, leading to a NULL pointer deference. For example, if a four-byte mapping request is made but only one byte is mapped because it hits the current page boundary's end, a four-byte read/write attempt is still made, resulting in a NULL pointer deference. Instead, map the entire length, as the ACPI specification does not mandate that it must be within the same page boundary. It is permissible for it to be mapped across different regions. Уязвимость компонента ACPICA ядра операционной системы Linux связана с ошибкой разыменования указателей NULL. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-476')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/amdgpu: fix UBSAN warning in kv_dpm.c Adds bounds check for sumo_vid_mapping_entry. Уязвимость компонентов drm/amdgpu ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-787')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: drm/radeon: fix UBSAN warning in kv_dpm.c Adds bounds check for sumo_vid_mapping_entry. Уязвимость компонентов drm/radeon ядра операционной системы Linux связана с ошибками управления ресурсами. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-119')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: KVM: arm64: Disassociate vcpus from redistributor region on teardown When tearing down a redistributor region, make sure we don't have any dangling pointer to that region stored in a vcpu. Уязвимость компонентов vgic-init.c, vgic-mmio-v3.c, vgic.h ядра операционной системы Linux связана с разыменованием указателя с истекшим сроком действия. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании [NistCWE(cwe='CWE-416')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: RDMA/mlx5: Add check for srq max_sge attribute max_sge attribute is passed by the user, and is inserted and used unchecked, so verify that the value doesn't exceed maximum allowed value before using it. Уязвимость компонентов RDMA/mlx5 ядра операционной системы Linux связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании [] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H', score=7.8) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: net/sched: act_api: fix possible infinite loop in tcf_idr_check_alloc() syzbot found hanging tasks waiting on rtnl_lock [1] A reproducer is available in the syzbot bug. When a request to add multiple actions with the same index is sent, the second request will block forever on the first request. This holds rtnl_lock, and causes tasks to hang. Return -EAGAIN to prevent infinite looping, while keeping documented behavior. [1] INFO: task kworker/1:0:5088 blocked for more than 143 seconds. Not tainted 6.9.0-rc4-syzkaller-00173-g3cdb45594619 #0 "echo 0 > /proc/sys/kernel/hung_task_timeout_secs" disables this message. task:kworker/1:0 state:D stack:23744 pid:5088 tgid:5088 ppid:2 flags:0x00004000 Workqueue: events_power_efficient reg_check_chans_work Call Trace: <TASK> context_switch kernel/sched/core.c:5409 [inline] __schedule+0xf15/0x5d00 kernel/sched/core.c:6746 __schedule_loop kernel/sched/core.c:6823 [inline] schedule+0xe7/0x350 kernel/sched/core.c:6838 schedule_preempt_disabled+0x13/0x30 kernel/sched/core.c:6895 __mutex_lock_common kernel/locking/mutex.c:684 [inline] __mutex_lock+0x5b8/0x9c0 kernel/locking/mutex.c:752 wiphy_lock include/net/cfg80211.h:5953 [inline] reg_leave_invalid_chans net/wireless/reg.c:2466 [inline] reg_check_chans_work+0x10a/0x10e0 net/wireless/reg.c:2481 Уязвимость компонентов net/sched ядра операционной системы Linux связана с выполнением цикла с недоступным условием выхода. Эксплуатация уязвимости позволяет нарушителю вызвать отказ в обслуживании [NistCWE(cwe='CWE-835')] None NistCVSS3(cvss='AV:L/AC:L/PR:L/UI:N/S:U/C:N/I:N/A:H', score=5.5) linux-6.18: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.1: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. linux-6.12: - Не использовать недоверенные сторонние модули ядра; - Рассмотреть возможность использования инструмента astra-modban-lock для блокировки загрузки неиспользуемых модулей ядра. Неиспользуемыми считаются те модули, которые не загружены в момент включения функции. Для включения astra-modban-lock выполните команду: ``` sudo astra-modban-lock enable ``` - Включить мандатный контроль целостности (МКЦ); - Обеспечить возможность запуска ПО только доверенными, обладающими соответствующими привилегиями пользователями ОС; - Отключить и удалить неиспользуемые учётные записи пользователей; - Для непривилегированных пользователей активировать блокировку интерпретаторов и bash; - Активировать и настроить профили пользователей для работы в режиме Киоск-2; - Запретить установку бита исполнения для всех пользователей, включая администраторов; - Запускать прикладное ПО только на низком или промежуточном (отличном от максимального) уровнях целостности; - Активировать регламентный контроль целостности ОС; - Активировать режим замкнутой программной среды. Astra Linux 1.8 linux-6.1 In the Linux kernel, the following vulnerability has been resolved: io_uring/sqpoll: work around a potential audit memory leak kmemleak complains that there's a memory leak related to connect handling: unreferenced object 0xffff0001093bdf00 (size 128): comm "iou-sqp-455", pid 457, jiffies 4294894164 hex dump (first 32 bytes): 02 00 fa ea 7f 00 00 01 00 00 00 00 00 00 00 00 ................ 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 ................ backtrace (crc 2e481b1a): [<00000000c0a26af4>] kmemleak_alloc+0x30/0x38 [<000000009c30bb45>] kmalloc_trace+0x228/0x358 [<000000009da9d39f>] __audit_sockaddr+0xd0/0x138 [<0000000089a93e34>] move_addr_to_kernel+0x1a0/0x1f8 [<000000000b4e80e6>] io_connect_prep+0x1ec/0x2d4 [<00000000abfbcd99>] io_submit_sqes+0x588/0x1e48 [<00000000e7c25e07>] io_sq_thread+0x8a4/0x10e4 [<00000000d999b491>] ret_from_fork+0x10/0x20 which can can happen if: 1) The command type does something on the prep side that triggers an audit call. 2) The thread hasn't done any operations before this that triggered an audit call inside ->issue(), where we have audit_uring_entry() and audit_uring_exit(). Work around this by issuing a blanket NOP operation before the SQPOLL does anything. Уязвимость компонента sqpoll операционной системы Linux с