Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-03616

Опубликовано: 23 июл. 2019
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость библиотеки служб сетевой безопасности (NSS) почтового клиента Thunderbird и браузеров Firefox и Firefox ESR связана с чтением за пределами буфера при импорте закрытого ключа curve25519 в формате PKCS # 8 с ведущими байтами 0x00. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к информации

Вендор

ООО «РусБИТех-Астра»
Canonical Ltd.
Сообщество свободного программного обеспечения
Mozilla Corp.
АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition
Ubuntu
Debian GNU/Linux
Thunderbird
Firefox ESR
Firefox
ОС ОН «Стрелец»

Версия ПО

1.5 «Смоленск» (Astra Linux Special Edition)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
12.04 ESM (Ubuntu)
19.04 (Ubuntu)
14.04 ESM (Ubuntu)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
до 60.8 (Thunderbird)
до 60.8 (Firefox ESR)
до 68 (Firefox)
1.0 (ОС ОН «Стрелец»)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 18.10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Canonical Ltd. Ubuntu 12.04 ESM
Canonical Ltd. Ubuntu 19.04
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для thunderbird:
Обновление программного обеспечения до 1:60.8.0-1~deb8u1 или более поздней версии
Для firefox-esr:
Обновление программного обеспечения до 60.8.0esr-1~deb9u1 или более поздней версии
Для firefox:
Обновление программного обеспечения до 68.0.1-2 или более поздней версии
Для Debian:
Обновление программного обеспечения(пакета thunderbird) до 1:60.8.0-1~deb8u1 или более поздней версии, (пакета firefox) до 68.0.1-2 или более поздней версии,(пакета firefox-esr) до 60.8.0esr-1~deb9u1 или более поздней версии
Для Ubuntu:
https://usn.ubuntu.com/4054-1/
https://usn.ubuntu.com/4060-1/
https://usn.ubuntu.com/4060-2/
https://usn.ubuntu.com/4064-1/
Для Astra Linux:
Обновление программного обеспечения(пакета thunderbird) до 1:60.8.0-1~deb8u1 или более поздней версии,(пакета firefox) до 68.0.1-2 или более поздней версии,(пакета firefox-esr) до 60.8.0esr-1~deb9u1 или более поздней версии
Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Для ОС ОН «Стрелец»:
Обновление программного обеспечения nss до версии 2:3.26.2-1.1+deb9u5
Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets
Для ОС Astra Linux 1.6 «Смоленск»:
- обновить пакет nss до 2:3.45-1astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
- обновить пакет thunderbird до 1:60.8.0-1~deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
- обновить пакет firefox до 68.0.2-1astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 63%
0.00447
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2019-11719

CVSS3: 7.5
ubuntu
больше 6 лет назад

When importing a curve25519 private key in PKCS#8format with leading 0x00 bytes, it is possible to trigger an out-of-bounds read in the Network Security Services (NSS) library. This could lead to information disclosure. This vulnerability affects Firefox ESR < 60.8, Firefox < 68, and Thunderbird < 60.8.

redhat логотип

CVE-2019-11719

CVSS3: 7.5
redhat
больше 6 лет назад

When importing a curve25519 private key in PKCS#8format with leading 0x00 bytes, it is possible to trigger an out-of-bounds read in the Network Security Services (NSS) library. This could lead to information disclosure. This vulnerability affects Firefox ESR < 60.8, Firefox < 68, and Thunderbird < 60.8.

nvd логотип

CVE-2019-11719

CVSS3: 7.5
nvd
больше 6 лет назад

When importing a curve25519 private key in PKCS#8format with leading 0x00 bytes, it is possible to trigger an out-of-bounds read in the Network Security Services (NSS) library. This could lead to information disclosure. This vulnerability affects Firefox ESR < 60.8, Firefox < 68, and Thunderbird < 60.8.

debian логотип

CVE-2019-11719

CVSS3: 7.5
debian
больше 6 лет назад

When importing a curve25519 private key in PKCS#8format with leading 0 ...

github логотип

GHSA-mg9h-wcqm-m3mw

CVSS3: 7.5
github
больше 3 лет назад

When importing a curve25519 private key in PKCS#8format with leading 0x00 bytes, it is possible to trigger an out-of-bounds read in the Network Security Services (NSS) library. This could lead to information disclosure. This vulnerability affects Firefox ESR < 60.8, Firefox < 68, and Thunderbird < 60.8.

EPSS

Процентиль: 63%
0.00447
Низкий

7.5 High

CVSS3

7.8 High

CVSS2