BDU:2024-02461
ООО «Ред Софт», Red Hat Inc., АО «ИВК», ООО «НЦПР», Сообщество свободного программного обеспечения, Red Hat Advanced Cluster Management for Kubernetes, Red Hat Enterprise Linux, Fedora, АЛЬТ СП 10, As
2024-03-20
Уязвимость модуля языка С для подписи и шифрования объектов JSON latchset Jose связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Компенсирующие меры: - ограничить размер параметрп p2c в JWE; - использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа; - ограничение доступа из общедоступных сетей (Интернет); - использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций: Для JSON latchset Jose: https://github.com/latchset/jose/commit/4ee7708bf6dbfaa712749f081eec1f0d122fa001
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2023-50967
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2023-50967
Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CIFPQUCLNWEAHYYJWCQD3AZPWYIV6YT3/ https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OOBFVMOAV732C7PY74AHJ62ZNKT3ISZ6/ https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/W7EGLOAFN2PWZ75ZRLTUDUZCIPH2VFZU/
Для ОС Astra Linux: обновить пакет jose до 11-2+deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2953
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2888
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2878
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2953
Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:9181?lang=ru
Для РЕД ОС: https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-jose-cve-2023-50967/?sphrase_id=1370771