BDU:2020-04040

Опубликовано: 01 июн. 2020

Источник: fstec

CVSS3: 8.6

CVSS2: 9

EPSS Низкий

Описание

Уязвимость параметра PL_regkind[OP(n)] == NOTHING интерпретатора языка программирования Perl связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Novell Inc.

Fedora Project

Oracle Corp.

АО «ИВК»

АО «Концерн ВНИИНС»

АО «НТЦ ИТ РОСА»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Common Edition

OpenSUSE Leap

Fedora

Astra Linux Special Edition для «Эльбрус»

Communications Billing and Revenue Management

Perl

Альт 8 СП

ОС ОН «Стрелец»

ROSA Virtualization 3.0

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

2.12 «Орёл» (Astra Linux Common Edition)

15.1 (OpenSUSE Leap)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

31 (Fedora)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

12.0.0.3.0 (Communications Billing and Revenue Management)

до 5.30.3 (Perl)

12.0.0.2.0 (Communications Billing and Revenue Management)

- (Альт 8 СП)

до 16.01.2023 (ОС ОН «Стрелец»)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

АО «ИВК» Альт 8 СП -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,6)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Perl:

https://github.com/perl/perl5/commit/0a320d753fe7fca03df259a4dfd8e641e51edaa8

https://github.com/perl/perl5/commit/3295b48defa0f8570114877b063fe546dd348b3c

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IN3TTBO5KSGWE5IRIKDJ5JSQRH7ANNXE/

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2020-06/msg00044.html

Для Astra Linux:

Обновление программного обеспечения (пакета perl) до 5.28.1-6+deb10u1 или более поздней версии

Или использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для ОС ОН «Стрелец»:

Обновление программного обеспечения perl до версии 5.24.1-3+osnova5

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2716

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-10878
CVE

EPSS

Процентиль: 30%

0.00107

Низкий

8.6 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2020-10878

CVSS3: 8.6

ubuntu

больше 5 лет назад

Perl before 5.30.3 has an integer overflow related to mishandling of a "PL_regkind[OP(n)] == NOTHING" situation. A crafted regular expression could lead to malformed bytecode with a possibility of instruction injection. An application written in Perl would only be vulnerable to this flaw if it evaluates regular expressions supplied by the attacker. Evaluating regular expressions in this fashion is known to be dangerous since the regular expression engine does not protect against denial of service attacks in this usage scenario.]

CVE-2020-10878

CVSS3: 8.6

redhat

больше 5 лет назад

CVE-2020-10878

CVSS3: 8.6

nvd

больше 5 лет назад

CVE-2020-10878

CVSS3: 8.6

debian

больше 5 лет назад

Perl before 5.30.3 has an integer overflow related to mishandling of a ...

RLSA-2021:1678

rocky

больше 4 лет назад

Moderate: perl security and bug fix update

EPSS

Процентиль: 30%

0.00107

Низкий

8.6 High

CVSS3

9 Critical

CVSS2