BDU:2023-00526

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8) CVSS 8.800000190734863 · AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H

Уязвимость пакета libsss_certmap сервиса управления доступом к удаленным каталогам и механизма аутентификации sssd, позволяющая нарушителю повысить свои привилегии

Соответствие зарубежным идентификаторам

CVE-2022-4254

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость пакета libsss_certmap сервиса управления доступом к удаленным каталогам и механизма аутентификации sssd связана с невозможностью очистки данных сертификата при использовании LDAP-фильтрации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - сброс настроек FreeIPA до конфигурации по умолчанию; - отключение неиспользуемых учетных записей, а также учетных записей недоверенных пользователей корневой операционной системы; - ограничение доступа к командной строке для недоверенных пользователей; - минимизация пользовательских привилегий. Использование рекомендаций производителя: Для sssd: https://github.com/SSSD/sssd/issues/5135 https://github.com/SSSD/sssd/commit/a2b9a84460429181f2a4fa7e2bb5ab49fd561274 Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2022-4254 https://bugzilla.redhat.com/show_bug.cgi?id=2149894 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2022-4254.html Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2022-4254 Для Astra Linux 1.6 «Смоленск»: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20230525SE16MD Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»: обновить пакет sssd до 1.16.3-3ubuntu1.1astra16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81 Для Astra Linux 1.6 «Смоленск»: обновить пакет sssd до 1.16.3-3ubuntu1.1astra16 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Сведения записи

Дата публикации: 01.02.2023

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Novell Inc.	SUSE Enterprise Storage	7.1	Не указана
Novell Inc.	SUSE Linux Enterprise High Performance Computing	15 SP3-ESPOS	Не указана
Novell Inc.	SUSE Linux Enterprise High Performance Computing	15 SP3-LTSS	Не указана
Novell Inc.	SUSE Linux Enterprise Micro	5.1	Не указана
Novell Inc.	SUSE Linux Enterprise Micro	5.2	Не указана
Novell Inc.	SUSE Linux Enterprise Real Time	15 SP3	Не указана
Novell Inc.	SUSE Linux Enterprise Server for SAP Applications	12 SP4	Не указана
Novell Inc.	SUSE Linux Enterprise Server for SAP Applications	15 SP3	Не указана
Novell Inc.	SUSE Manager Proxy	4.2	Не указана
Novell Inc.	SUSE Manager Retail Branch Server	4.2	Не указана
Novell Inc.	SUSE Manager Server	4.2	Не указана
Novell Inc.	SUSE OpenStack Cloud	9	Не указана
Novell Inc.	SUSE OpenStack Cloud	Crowbar 9	Не указана
Novell Inc.	Suse Linux Enterprise Server	12 SP4-ESPOS	Не указана
Novell Inc.	Suse Linux Enterprise Server	12 SP4-LTSS	Не указана
Novell Inc.	Suse Linux Enterprise Server	15 SP3-LTSS	Не указана
Novell Inc.	openSUSE Leap Micro	5.2	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	7	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	8	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	8.1 Update Services for SAP Solutions	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	8.2 Advanced Update Support	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	8.2 Telecommunications Update Service	Не указана
Red Hat Inc.	Red Hat Enterprise Linux	8.2 Update Services for SAP Solutions	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition	1.6 «Смоленск»	Не указана
ООО «РусБИТех-Астра»	Astra Linux Special Edition для «Эльбрус»	8.1 «Ленинград»	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	10	Не указана
Сообщество свободного программного обеспечения	Debian GNU/Linux	11	Не указана
Сообщество свободного программного обеспечения	sssd	до 2.3.1	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.