BDU:2019-00734

Опубликовано: 03 апр. 2018

Источник: fstec

CVSS3: 5.3

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость функции xz_decomp библиотеки libxml2 связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально сформированного XML-файла

Вендор

Juniper Networks Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

АО "НППКТ"

Наименование ПО

JunOS

libxml2

Debian GNU/Linux

РЕД ОС

ОСОН ОСнова Оnyx

Версия ПО

17.1r3 (JunOS)

17.2r3 (JunOS)

18.1R3 (JunOS)

18.2R2 (JunOS)

от 17.1 до 17.1R2-S9 (JunOS)

от 17.4 до 17.4R2 (JunOS)

от 15.1 до 15.1R4-S9 (JunOS)

от 16.2 до 16.2R2-S7 (JunOS)

от 12.3 до 12.3R12-S10 (JunOS)

15.1R7-S2 (JunOS)

от 17.2 до 17.2R1-S7 (JunOS)

16.1R7-S1 (JunOS)

17.2R2-S6 (JunOS)

от 17.3 до 17.3R2-S4 (JunOS)

от 15.1X53 до 15.1X53-D590 (JunOS)

от 15.1X53 до 15.1X53-D234 (JunOS)

от 12.1X46 до 12.1X46-D81 (JunOS)

от 12.3X48 до 12.3X48-D75 (JunOS)

от 14.1X53 до 14.1X53-D48 (JunOS)

от 15.1F до 15.1F6-S11 (JunOS)

от 15.1X49 до 15.1X49-D150 (JunOS)

от 15.1X53 до 15.1X53-D495 (JunOS)

от 15.1X53 до 15.1X53-D68 (JunOS)

от 16.1 до 16.1R4-S11 (JunOS)

16.1R6-S5 (JunOS)

17.3R3-S1 (JunOS)

от 18.1 до 18.1R2-S2 (JunOS)

от 18.2 до 18.2R1-S1 (JunOS)

от 18.2X75 до 18.2X75-D20 (JunOS)

2.9.8 (libxml2)

8 (Debian GNU/Linux)

7.1 МУРОМ (РЕД ОС)

до 2.14 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Juniper Networks Inc. JunOS 17.1r3

Juniper Networks Inc. JunOS 17.2r3

Juniper Networks Inc. JunOS 18.1R3

Juniper Networks Inc. JunOS 18.2R2

Juniper Networks Inc. JunOS от 17.1 до 17.1R2-S9

Juniper Networks Inc. JunOS от 17.4 до 17.4R2

Juniper Networks Inc. JunOS от 15.1 до 15.1R4-S9

Juniper Networks Inc. JunOS от 16.2 до 16.2R2-S7

Juniper Networks Inc. JunOS от 12.3 до 12.3R12-S10

Juniper Networks Inc. JunOS 15.1R7-S2

Juniper Networks Inc. JunOS от 17.2 до 17.2R1-S7

Juniper Networks Inc. JunOS 16.1R7-S1

Juniper Networks Inc. JunOS 17.2R2-S6

Juniper Networks Inc. JunOS от 17.3 до 17.3R2-S4

Juniper Networks Inc. JunOS от 15.1X53 до 15.1X53-D590

Juniper Networks Inc. JunOS от 15.1X53 до 15.1X53-D234

Juniper Networks Inc. JunOS от 12.1X46 до 12.1X46-D81

Juniper Networks Inc. JunOS от 12.3X48 до 12.3X48-D75

Juniper Networks Inc. JunOS от 14.1X53 до 14.1X53-D48

Juniper Networks Inc. JunOS от 15.1F до 15.1F6-S11

Juniper Networks Inc. JunOS от 15.1X49 до 15.1X49-D150

Juniper Networks Inc. JunOS от 15.1X53 до 15.1X53-D495

Juniper Networks Inc. JunOS от 15.1X53 до 15.1X53-D68

Juniper Networks Inc. JunOS от 16.1 до 16.1R4-S11

Juniper Networks Inc. JunOS 16.1R6-S5

Juniper Networks Inc. JunOS 17.3R3-S1

Juniper Networks Inc. JunOS от 18.1 до 18.1R2-S2

Juniper Networks Inc. JunOS от 18.2 до 18.2R1-S1

Juniper Networks Inc. JunOS от 18.2X75 до 18.2X75-D20

Сообщество свободного программного обеспечения Debian GNU/Linux 8

ООО «Ред Софт» РЕД ОС 7.1 МУРОМ

АО "НППКТ" ОСОН ОСнова Оnyx до 2.14

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для libxml2:

https://gitlab.gnome.org/GNOME/libxml2/commit/2240fbf5912054af025fb6e01e26375100275e74

Для JunOS:

https://kb.juniper.net/InfoCenter/index?page=content&id=JSA10916&cat=SIRT_1&actp=LIST

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2018/09/msg00035.html

Для РЕД ОС:

Обновление операционной системы до версии 7.2

Обновление программного обеспечения libxml2 до версии 2.9.10+dfsg-6.7+deb11u8.osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-9251
CVE

EPSS

Процентиль: 77%

0.01046

Низкий

5.3 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2018-9251

CVSS3: 5.3

ubuntu

почти 8 лет назад

The xz_decomp function in xzlib.c in libxml2 2.9.8, if --with-lzma is used, allows remote attackers to cause a denial of service (infinite loop) via a crafted XML file that triggers LZMA_MEMLIMIT_ERROR, as demonstrated by xmllint, a different vulnerability than CVE-2015-8035.

CVE-2018-9251

CVSS3: 3.5

redhat

почти 8 лет назад

CVE-2018-9251

CVSS3: 5.3

nvd

почти 8 лет назад

CVE-2018-9251

CVSS3: 5.3

debian

почти 8 лет назад

The xz_decomp function in xzlib.c in libxml2 2.9.8, if --with-lzma is ...

GHSA-qvh5-3xv2-rf6p

CVSS3: 5.3

github

больше 3 лет назад

EPSS

Процентиль: 77%

0.01046

Низкий

5.3 Medium

CVSS3

5.4 Medium

CVSS2