Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01304

Опубликовано: 03 дек. 2018
Источник: fstec
CVSS3: 3.5
CVSS2: 4.3
EPSS Низкий

Описание

Уязвимость библиотеки libssh2 вызвана целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код в клиентской системе в момент подключения пользователя к серверу

Вендор

ООО «РусБИТех-Астра»
Novell Inc.
Сообщество свободного программного обеспечения

Наименование ПО

Astra Linux Special Edition
Suse Linux Enterprise Desktop
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Module for Basesystem
Suse Linux Enterprise Server
libssh2
SUSE Linux Enterprise SDK

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
12 SP3 (Suse Linux Enterprise Desktop)
12 SP4 (Suse Linux Enterprise Desktop)
12 SP2 (SUSE Linux Enterprise Server for SAP Applications)
12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
15 GA (SUSE Linux Enterprise Module for Basesystem)
12 SP3 (Suse Linux Enterprise Server)
12 SP4 (Suse Linux Enterprise Server)
от 1.2.8 до 1.8.1 (libssh2)
11 SP3 (SUSE Linux Enterprise Server for SAP Applications)
12 GA (SUSE Linux Enterprise Server for SAP Applications)
11 SP3 LTSS (Suse Linux Enterprise Server)
11 SP4 (Suse Linux Enterprise Server)
12 SP1 LTSS (Suse Linux Enterprise Server)
12 SP2 LTSS (Suse Linux Enterprise Server)
11 SP4 (SUSE Linux Enterprise SDK)
12 SP3 (SUSE Linux Enterprise SDK)
12 SP4 (SUSE Linux Enterprise SDK)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
https://www.suse.com/security/cve/CVE-2019-3857/
Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет libssh2 до 1.7.0-1+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 89%
0.04685
Низкий

3.5 Low

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVSS3: 8.8
ubuntu
около 6 лет назад

An integer overflow flaw which could lead to an out of bounds write was discovered in libssh2 before 1.8.1 in the way SSH_MSG_CHANNEL_REQUEST packets with an exit signal are parsed. A remote attacker who compromises a SSH server may be able to execute code on the client system when a user connects to the server.

CVSS3: 7.5
redhat
больше 6 лет назад

An integer overflow flaw which could lead to an out of bounds write was discovered in libssh2 before 1.8.1 in the way SSH_MSG_CHANNEL_REQUEST packets with an exit signal are parsed. A remote attacker who compromises a SSH server may be able to execute code on the client system when a user connects to the server.

CVSS3: 8.8
nvd
около 6 лет назад

An integer overflow flaw which could lead to an out of bounds write was discovered in libssh2 before 1.8.1 in the way SSH_MSG_CHANNEL_REQUEST packets with an exit signal are parsed. A remote attacker who compromises a SSH server may be able to execute code on the client system when a user connects to the server.

CVSS3: 8.8
debian
около 6 лет назад

An integer overflow flaw which could lead to an out of bounds write wa ...

CVSS3: 8.8
github
около 3 лет назад

An integer overflow flaw which could lead to an out of bounds write was discovered in libssh2 before 1.8.1 in the way SSH_MSG_CHANNEL_REQUEST packets with an exit signal are parsed. A remote attacker who compromises a SSH server may be able to execute code on the client system when a user connects to the server.

EPSS

Процентиль: 89%
0.04685
Низкий

3.5 Low

CVSS3

4.3 Medium

CVSS2