BDU:2020-02869

Опубликовано: 29 янв. 2020

Источник: fstec

CVSS3: 8.8

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость функции opj_t1_clbl_decode_processor (openjp2/t1.c) библиотеки для кодирования и декодирования изображений OpenJPEG связана с записью за границами буфера в памяти (в случае qmfbid == 1). Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Red Hat Inc.

ООО «РусБИТех-Астра»

Fedora Project

Сообщество свободного программного обеспечения

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux

Astra Linux Special Edition

Astra Linux Common Edition

Fedora

Debian GNU/Linux

Astra Linux Special Edition для «Эльбрус»

OpenJPEG

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

7 (Red Hat Enterprise Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Red Hat Enterprise Linux)

30 (Fedora)

8 (Debian GNU/Linux)

31 (Fedora)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

8.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)

от 2.3.1 до 2020-01-28 (OpenJPEG)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2.1 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Red Hat Inc. Red Hat Enterprise Linux 8

Fedora Project Fedora 30

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Fedora Project Fedora 31

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Red Hat Inc. Red Hat Enterprise Linux 8.0 Update Services for SAP Solutions

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для OpenJPEG:

https://github.com/uclouvain/openjpeg/issues/1231

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2020-8112

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TFEVEKETJV7GOXD5RDWL35ESEDHC663E/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EFM77GIFWHOECNIERYJQPI2ZJU57GZD5/

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2020/01/msg00035.html

Для Astra Linux:

Обновление программного обеспечения (пакета openjpeg2) до 2.1.2-1.1+deb9u5 или более поздней версии

И использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:

Обновление программного обеспечения openjpeg2 до версии 2.3.0-2+deb10u2.osnova1

Для ОС ОН «Стрелец»:

Обновление программного обеспечения openjpeg2 до версии 2.3.0-2+deb10u2.osnova1

Для ОС Astra Linux 1.6 «Смоленск»:

обновить пакет openjpeg2 до 2.1.2-1.1+deb9u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-8112
CVE

EPSS

Процентиль: 80%

0.01428

Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2020-8112

CVSS3: 8.8

ubuntu

около 6 лет назад

opj_t1_clbl_decode_processor in openjp2/t1.c in OpenJPEG 2.3.1 through 2020-01-28 has a heap-based buffer overflow in the qmfbid==1 case, a different issue than CVE-2020-6851.

CVE-2020-8112

CVSS3: 8.8

redhat

около 6 лет назад

opj_t1_clbl_decode_processor in openjp2/t1.c in OpenJPEG 2.3.1 through 2020-01-28 has a heap-based buffer overflow in the qmfbid==1 case, a different issue than CVE-2020-6851.

CVE-2020-8112

CVSS3: 8.8

nvd

около 6 лет назад

opj_t1_clbl_decode_processor in openjp2/t1.c in OpenJPEG 2.3.1 through 2020-01-28 has a heap-based buffer overflow in the qmfbid==1 case, a different issue than CVE-2020-6851.

CVE-2020-8112

CVSS3: 8.8

msrc

больше 1 года назад

Описание отсутствует

CVE-2020-8112

CVSS3: 8.8

debian

около 6 лет назад

opj_t1_clbl_decode_processor in openjp2/t1.c in OpenJPEG 2.3.1 through ...

EPSS

Процентиль: 80%

0.01428

Низкий

8.8 High

CVSS3

6.8 Medium

CVSS2