Описание
Уязвимость модуля vhost_net ядра операционной системы Linux связана с неконтролируемым расходом ресурса при обработке входящих пакетов в handle_rx(). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор
ООО «РусБИТех-Астра»
Red Hat, Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
Fedora Project
Novell Inc.
Oracle Corp.
Наименование ПО
Astra Linux Special Edition
Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
Fedora
Suse Linux Enterprise Desktop
SUSE Linux Enterprise Server for SAP Applications
SUSE Linux Enterprise Module for Basesystem
SUSE Linux Enterprise High Performance Computing
Oracle Linux
SUSE Linux Enterprise Module for Development Tools
Linux
Версия ПО
1.5 «Смоленск» (Astra Linux Special Edition)
6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
28 (Fedora)
12 SP3 (Suse Linux Enterprise Desktop)
12 SP4 (Suse Linux Enterprise Desktop)
12 SP2 (SUSE Linux Enterprise Server for SAP Applications)
12 SP3 (SUSE Linux Enterprise Server for SAP Applications)
12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
15 GA (SUSE Linux Enterprise Module for Basesystem)
12 (SUSE Linux Enterprise High Performance Computing)
11 SP3 (SUSE Linux Enterprise Server for SAP Applications)
12 GA (SUSE Linux Enterprise Server for SAP Applications)
29 (Fedora)
19.04 (Ubuntu)
7 (Oracle Linux)
30 (Fedora)
7.4 EUS (Red Hat Enterprise Linux)
7.5 EUS (Red Hat Enterprise Linux)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
8 (poppler) (Oracle Linux)
15 GA (SUSE Linux Enterprise Module for Development Tools)
6 (Oracle Linux)
от 4.15 до 4.19.63 включительно (Linux)
от 4.10 до 4.14.132 включительно (Linux)
от 4.20 до 5.2 (Linux)
от 4.0 до 4.4.190 включительно (Linux)
от 4.5 до 4.9.189 включительно (Linux)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Red Hat, Inc. Red Hat Enterprise Linux 6
Red Hat, Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Fedora Project Fedora 28
Novell Inc. Suse Linux Enterprise Desktop 12 SP3
Novell Inc. Suse Linux Enterprise Desktop 12 SP4
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP2
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4
Novell Inc. SUSE Linux Enterprise Module for Basesystem 15 GA
Novell Inc. SUSE Linux Enterprise High Performance Computing 12
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 11 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 GA
Fedora Project Fedora 29
Canonical Ltd. Ubuntu 19.04
Oracle Corp. Oracle Linux 7
Fedora Project Fedora 30
Red Hat, Inc. Red Hat Enterprise Linux 7.4 EUS
Red Hat, Inc. Red Hat Enterprise Linux 7.5 EUS
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Linux до 5.1
Oracle Corp. Oracle Linux 8 (poppler)
Novell Inc. SUSE Linux Enterprise Module for Development Tools 15 GA
Oracle Corp. Oracle Linux 6
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для linux:
Обновление программного обеспечения до 4.9.168-1+deb9u5 или более поздней версии
https://www.spinics.net/lists/kernel/msg3111012.html
https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.14.133
https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.19.64
https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.4.191
https://kernel.org/pub/linux/kernel/v4.x/ChangeLog-4.9.190
Для Debian:
Обновление программного обеспечения(пакета linux) до 4.9.168-1+deb9u5 или более поздней версии
https://security-tracker.debian.org/tracker/CVE-2019-3900
Для Ubuntu:
https://usn.ubuntu.com/4114-1/
https://usn.ubuntu.com/4115-1/
https://usn.ubuntu.com/4116-1/
https://usn.ubuntu.com/4117-1/
https://usn.ubuntu.com/4118-1/
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-3900.html
Для программных продуктов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3900
https://access.redhat.com/security/cve/cve-2019-3900
Для Fedora:
https://bugzilla.redhat.com/show_bug.cgi?id=1702940
Для Oracle:
https://linux.oracle.com/cve/CVE-2019-3900.html
Для SUSE:
https://www.suse.com/security/cve/CVE-2019-3900/
Для Astra Linux:
Обновление программного обеспечения(пакета linux) до 4.9.168-1+deb9u5 или более поздней версии
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 91%
0.04345
Низкий
6.5 Medium
CVSS3
6.8 Medium
CVSS2
Связанные уязвимости
CVSS3: 7.7
altlinux
больше 7 лет назад
ALT-PU-2019-2382: package `kernel-image-std-pae` update to version 4.19.65-alt1
CVSS3: 9.8
altlinux
около 7 лет назад
ALT-PU-2019-4231: package `kernel-image-xenomai` update to version 4.14.134-alt1
CVSS3: 9.1
altlinux
больше 7 лет назад
ALT-PU-2019-2401: package `kernel-image-std-def` update to version 4.19.65-alt1
CVSS3: 8.8
altlinux
больше 7 лет назад
ALT-PU-2019-2321: package `kernel-image-un-def` update to version 5.2.1-alt1
CVSS3: 7.7
ubuntu
больше 7 лет назад
An infinite loop issue was found in the vhost_net kernel module in Linux Kernel up to and including v5.1-rc6, while handling incoming packets in handle_rx(). It could occur if one end sends packets faster than the other end can process them. A guest user, maybe remote one, could use this flaw to stall the vhost_net kernel thread, resulting in a DoS scenario.
EPSS
Процентиль: 91%
0.04345
Низкий
6.5 Medium
CVSS3
6.8 Medium
CVSS2