BDU:2019-01251

Опубликовано: 20 дек. 2018

Источник: fstec

CVSS3: 8.8

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость библиотеки для работы с архивами Libarchive (libarchive/archive_read_support_format_rar.c) связана с ошибкой в декодере формата RAR, приводящей к повторному освобождению ресурсов в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

Fedora Project

ООО «РусБИТех-Астра»

Novell Inc.

АО "НППКТ"

АО «НТЦ ИТ РОСА»

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

Fedora

Astra Linux Special Edition

libarchive

OpenSUSE Leap

Astra Linux Special Edition для «Эльбрус»

ОСОН ОСнова Оnyx

ROSA Virtualization 3.0

Версия ПО

14.04 LTS (Ubuntu)

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

28 (Fedora)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

от 3.1.0 (libarchive)

29 (Fedora)

8 (Red Hat Enterprise Linux)

15.0 (OpenSUSE Leap)

15.1 (OpenSUSE Leap)

30 (Fedora)

8 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

до 2.4.3 (ОСОН ОСнова Оnyx)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Fedora Project Fedora 28

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Fedora Project Fedora 29

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Fedora Project Fedora 30

Сообщество свободного программного обеспечения Debian GNU/Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

АО "НППКТ" ОСОН ОСнова Оnyx до 2.4.3

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для libarchive:

Обновление программного обеспечения до 3.3.3-3 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета libarchive) до 3.1.2-11+deb8u3 или более поздней версии

Для программных продуктов Novell Inc.:

http://lists.opensuse.org/opensuse-security-announce/2019-04/msg00055.html

http://lists.opensuse.org/opensuse-security-announce/2019-12/msg00012.html

http://lists.opensuse.org/opensuse-security-announce/2019-12/msg00015.html

Для Ubuntu:

https://usn.ubuntu.com/3859-1/

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/CBOCC2M6YGPZA6US43YK4INPSJZZHRTG/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/W645KCLWFDBDGFJHG57WOVXGE62QSIJI/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZVXA7PHINVT6DFF6PRLTDTVTXKDLVHNF/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/errata/RHSA-2019:2298

https://access.redhat.com/errata/RHSA-2019:3698

Для Astra Linux:

Обновление программного обеспечения (пакета libarchive) до 3.1.2-11+deb8u3 или более поздней версии

Для ОСОН Основа:

Обновление программного обеспечения libarchive до версии 3.4.3-2osnova1

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2704

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-1000877
CVE

EPSS

Процентиль: 82%

0.01775

Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2018-1000877

CVSS3: 8.8

ubuntu

около 7 лет назад

libarchive version commit 416694915449219d505531b1096384f3237dd6cc onwards (release v3.1.0 onwards) contains a CWE-415: Double Free vulnerability in RAR decoder - libarchive/archive_read_support_format_rar.c, parse_codes(), realloc(rar->lzss.window, new_size) with new_size = 0 that can result in Crash/DoS. This attack appear to be exploitable via the victim must open a specially crafted RAR archive.

CVE-2018-1000877

CVSS3: 7

redhat

около 7 лет назад

CVE-2018-1000877

CVSS3: 8.8

nvd

около 7 лет назад

CVE-2018-1000877

CVSS3: 8.8

debian

около 7 лет назад

libarchive version commit 416694915449219d505531b1096384f3237dd6cc onw ...

GHSA-rfww-wwgq-55v3

CVSS3: 8.8

github

больше 3 лет назад

EPSS

Процентиль: 82%

0.01775

Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2