BDU:2016-00900

Опубликовано: 14 мар. 2016

Источник: fstec

CVSS2: 4.9

EPSS Низкий

Описание

Уязвимость внутреннего DNS-сервера файловой системы Samba вызвана переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании (чтение за границами памяти) или получить конфиденциальную информацию в результате загрузки специально созданной DNS TXT-записи

Вендор

Samba Team

ООО «РусБИТех-Астра»

Наименование ПО

Samba

Astra Linux Common Edition

Версия ПО

от 4.0 до 4.1.23 (Samba)

от 4.2.0 до 4.2.9 (Samba)

от 4.3.0 до 4.3.6 (Samba)

4.4.0 до 4.4.0rc4 (Samba)

2.12 «Орёл» (Astra Linux Common Edition)

Тип ПО

Сетевое программное средство

Операционная система

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Linux .

Apple Inc. MacOS X

Сообщество свободного программного обеспечения Linux .

Microsoft Corp Windows -

Сообщество свободного программного обеспечения Unix .

Apple Inc. MacOS X

Сообщество свободного программного обеспечения Unix .

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)

Возможные меры по устранению уязвимости

Обновление программного средства до версии 4.3.6, 4.2.9, 4.1.23, 4.4.0rc4

Для Astra Linux:

Обновление программного обеспечения (пакета samba) до 2:4.1.17+dfsg-2+deb8u1 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-0771
CVE

EPSS

Процентиль: 90%

0.05663

Низкий

4.9 Medium

CVSS2

Связанные уязвимости

CVE-2016-0771

CVSS3: 5.9

ubuntu

почти 10 лет назад

The internal DNS server in Samba 4.x before 4.1.23, 4.2.x before 4.2.9, 4.3.x before 4.3.6, and 4.4.x before 4.4.0rc4, when an AD DC is configured, allows remote authenticated users to cause a denial of service (out-of-bounds read) or possibly obtain sensitive information from process memory by uploading a crafted DNS TXT record.