Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-02871

Опубликовано: 26 дек. 2019
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость набора библиотек NSS (Network Security Services) существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

ООО «РусБИТех-Астра»
Red Hat Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
Mozilla Corp.
АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition
Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
Network Security Services
ОС ОН «Стрелец»

Версия ПО

1.5 «Смоленск» (Astra Linux Special Edition)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
12.04 ESM (Ubuntu)
19.04 (Ubuntu)
8 (Red Hat Enterprise Linux)
14.04 ESM (Ubuntu)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
19.10 (Ubuntu)
до 3.46 (Network Security Services)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Canonical Ltd. Ubuntu 12.04 ESM
Canonical Ltd. Ubuntu 19.04
Red Hat Inc. Red Hat Enterprise Linux 8
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 19.10
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
Для Network Security Services:
https://developer.mozilla.org/en-US/docs/Mozilla/Projects/NSS/NSS_3.46_release_notes
Обновление программного обеспечения до 2:3.42.1-1+deb10u3 или более поздней версии
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2019-17006
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-17006
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-17006
Для Ubuntu:
https://usn.ubuntu.com/4231-1/
Для Astra Linux:
Обновление программного обеспечения (пакета nss) до 2:3.42.1-1+deb10u3 или более поздней версии
https://wiki.astralinux.ru/pages/viewpage.action?pageId=117998111
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15
Для ОС ОН «Стрелец»:
Обновление программного обеспечения nss до версии 2:3.26.2-1.1+deb9u5

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 80%
0.01458
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
около 5 лет назад

In Network Security Services (NSS) before 3.46, several cryptographic primitives had missing length checks. In cases where the application calling the library did not perform a sanity check on the inputs it could result in a crash due to a buffer overflow.

CVSS3: 8.1
redhat
почти 6 лет назад

In Network Security Services (NSS) before 3.46, several cryptographic primitives had missing length checks. In cases where the application calling the library did not perform a sanity check on the inputs it could result in a crash due to a buffer overflow.

CVSS3: 9.8
nvd
около 5 лет назад

In Network Security Services (NSS) before 3.46, several cryptographic primitives had missing length checks. In cases where the application calling the library did not perform a sanity check on the inputs it could result in a crash due to a buffer overflow.

CVSS3: 9.8
debian
около 5 лет назад

In Network Security Services (NSS) before 3.46, several cryptographic ...

github
больше 3 лет назад

In Network Security Services (NSS) before 3.46, several cryptographic primitives had missing length checks. In cases where the application calling the library did not perform a sanity check on the inputs it could result in a crash due to a buffer overflow.

EPSS

Процентиль: 80%
0.01458
Низкий

8.1 High

CVSS3

7.6 High

CVSS2