BDU:2019-03593

Опубликовано: 16 июл. 2019

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки libavformat мультимедийной среды Ffmpeg связана с отсутствием проверки возвращаемого значения функцией sscanf, что может привести к использованию неинициализированных переменных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных, получить несанкционированный доступ к защищаемой информации, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Novell Inc.

FFmpeg team

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

SUSE Linux Enterprise Module for Open Buildservice Development Tools

SUSE Linux Enterprise Module for additional PackageHub

SUSE Linux Enterprise Module for Desktop Applications

SUSE Linux Enterprise Workstation Extension

FFmpeg

ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

15 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)

15 (SUSE Linux Enterprise Module for additional PackageHub)

15 (SUSE Linux Enterprise Module for Desktop Applications)

15 SP1 (SUSE Linux Enterprise Module for Desktop Applications)

15 (SUSE Linux Enterprise Workstation Extension)

15 SP1 (SUSE Linux Enterprise Workstation Extension)

15 SP1 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)

8 (Debian GNU/Linux)

до 3.2.14 (FFmpeg)

до 2.5 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для FFmpeg:

Обновление программного обеспечения до 7:4.1.4-1 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета ffmpeg) до 7:3.2.14-1~deb9u1 или более поздней версии

Для программных продуктов Novell Inc.:

https://suse.com/security/cve/CVE-2019-12730/

Для ОСОН Основа:

Обновление программного обеспечения ffmpeg до версии 7:4.3.3-0+deb11u1osnova1

Для Astra Linux Special Edition 1.6 «Смоленск»::

обновить пакет ffmpeg до 7:3.2.19-0+deb9u3+ci3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-12730
CVE

EPSS

Процентиль: 82%

0.01704

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2019-12730

CVSS3: 9.8

ubuntu

больше 6 лет назад

aa_read_header in libavformat/aadec.c in FFmpeg before 3.2.14 and 4.x before 4.1.4 does not check for sscanf failure and consequently allows use of uninitialized variables.

CVE-2019-12730

CVSS3: 9.8

nvd

больше 6 лет назад

aa_read_header in libavformat/aadec.c in FFmpeg before 3.2.14 and 4.x before 4.1.4 does not check for sscanf failure and consequently allows use of uninitialized variables.

CVE-2019-12730

CVSS3: 9.8

debian

больше 6 лет назад

aa_read_header in libavformat/aadec.c in FFmpeg before 3.2.14 and 4.x ...

GHSA-qvcr-p33x-3v45

github

больше 3 лет назад

aa_read_header in libavformat/aadec.c in FFmpeg before 3.2.14 does not check for sscanf failure and consequently allows use of uninitialized variables.

SUSE-SU-2019:3184-2

suse-cvrf

больше 5 лет назад

Security update for ffmpeg

EPSS

Процентиль: 82%

0.01704

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2