BDU:2019-04241

Опубликовано: 12 мая 2018

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции Exiv2::Internal::PngChunk::parseTXTChunk библиотеки для управления метаданными медиафайлов Exiv2 связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Exiv2 authors

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

Astra Linux Special Edition

Exiv2

Astra Linux Common Edition

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

14.04 LTS (Ubuntu)

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

17.10 (Ubuntu)

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

0.26 (Exiv2)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Debian GNU/Linux)

до 2.3 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 17.10

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Сообщество свободного программного обеспечения Debian GNU/Linux 8

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Astra Linux:

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Обновление программного обеспечения (пакета exiv2) до 0.25-3.1+deb9u1 или более поздней версии

Для Exiv2:

https://github.com/Exiv2/exiv2/issues/306

Для Debian GNU/Linux:

https://www.debian.org/security/2018/dsa-4238

https://lists.debian.org/debian-lts-announce/2018/06/msg00010.html

https://lists.debian.org/debian-lts-announce/2018/10/msg00012.html

Для Ubuntu:

https://usn.ubuntu.com/3700-1/

Для ОСОН Основа:

Обновление программного обеспечения exiv2 до версии 0.25+repack-4+deb10u2.osnova0u2

Для ОС ОН «Стрелец»:

Обновление программного обеспечения exiv2 до версии 0.25-3.1+deb9u3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-10999
CVE

EPSS

Процентиль: 81%

0.0162

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2018-10999

CVSS3: 6.5

ubuntu

больше 7 лет назад

An issue was discovered in Exiv2 0.26. The Exiv2::Internal::PngChunk::parseTXTChunk function has a heap-based buffer over-read.

CVE-2018-10999

CVSS3: 3.3

redhat

больше 7 лет назад

An issue was discovered in Exiv2 0.26. The Exiv2::Internal::PngChunk::parseTXTChunk function has a heap-based buffer over-read.

CVE-2018-10999

CVSS3: 6.5

nvd

больше 7 лет назад

An issue was discovered in Exiv2 0.26. The Exiv2::Internal::PngChunk::parseTXTChunk function has a heap-based buffer over-read.

CVE-2018-10999

CVSS3: 6.5

debian

больше 7 лет назад

An issue was discovered in Exiv2 0.26. The Exiv2::Internal::PngChunk:: ...

GHSA-77hq-vrjm-gxpm

CVSS3: 6.5

github

больше 3 лет назад

An issue was discovered in Exiv2 0.26. The Exiv2::Internal::PngChunk::parseTXTChunk function has a heap-based buffer over-read.

EPSS

Процентиль: 81%

0.0162

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2