BDU:2020-01957

Опубликовано: 21 окт. 2019

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции idn2_to_ascii_4i() библиотеке GNU для интернационализованных доменных имён (IDN) libidn2 связана с ошибкой переполнения буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Novell Inc.

Red Hat Inc.

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

SUSE Linux Enterprise Module for Open Buildservice Development Tools

Red Hat Enterprise Linux

SUSE Linux Enterprise Module for Basesystem

OpenSUSE Leap

Libidn2

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

15 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)

8 (Red Hat Enterprise Linux)

15 (SUSE Linux Enterprise Module for Basesystem)

15 SP1 (SUSE Linux Enterprise Module for Basesystem)

15.0 (OpenSUSE Leap)

15 SP1 (SUSE Linux Enterprise Module for Open Buildservice Development Tools)

15.1 (OpenSUSE Leap)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

до 2.1.1 (Libidn2)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Libidn2:

Обновление программного обеспечения до 2.1.1 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета libidn2-0) до 0.16-1+deb9u1 или более поздней версии

Для Astra Linux:

Обновление программного обеспечения (пакета libidn2-0) до 0.16-1+deb9u1 или более поздней версии

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2019-18224/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2019-18224

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-18224
CVE

EPSS

Процентиль: 85%

0.02397

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2019-18224

CVSS3: 9.8

ubuntu

больше 6 лет назад

idn2_to_ascii_4i in lib/lookup.c in GNU libidn2 before 2.1.1 has a heap-based buffer overflow via a long domain string.

CVE-2019-18224

CVSS3: 5.6

redhat

около 7 лет назад

idn2_to_ascii_4i in lib/lookup.c in GNU libidn2 before 2.1.1 has a heap-based buffer overflow via a long domain string.

CVE-2019-18224

CVSS3: 9.8

nvd

больше 6 лет назад

idn2_to_ascii_4i in lib/lookup.c in GNU libidn2 before 2.1.1 has a heap-based buffer overflow via a long domain string.

CVE-2019-18224

CVSS3: 9.8

debian

больше 6 лет назад

idn2_to_ascii_4i in lib/lookup.c in GNU libidn2 before 2.1.1 has a hea ...

GHSA-j2c9-63g7-697x

CVSS3: 9.8

github

больше 3 лет назад

idn2_to_ascii_4i in lib/lookup.c in GNU libidn2 before 2.1.1 has a heap-based buffer overflow via a long domain string.

EPSS

Процентиль: 85%

0.02397

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2