BDU:2021-00071

Опубликовано: 05 мар. 2020

Источник: fstec

CVSS3: 3.5

CVSS2: 2.7

EPSS Низкий

Описание

Уязвимость функции zrle_compress_data программного обеспечения для эмуляции аппаратного обеспечения различных платформ QEMU связана с некорректным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Canonical Ltd.

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

Novell Inc.

Фабрис Беллар

ООО «Юбитех»

АО «ИВК»

АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu

Astra Linux Special Edition

Debian GNU/Linux

OpenSUSE Leap

QEMU

UBLinux

Альт 8 СП

ОС ОН «Стрелец»

Версия ПО

16.04 LTS (Ubuntu)

1.5 «Смоленск» (Astra Linux Special Edition)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

15.1 (OpenSUSE Leap)

10 (Debian GNU/Linux)

19.10 (Ubuntu)

20.04 LTS (Ubuntu)

до 4.1.0 включительно (QEMU)

до 21.01 (UBLinux)

- (Альт 8 СП)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Novell Inc. OpenSUSE Leap 15.1

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 19.10

Canonical Ltd. Ubuntu 20.04 LTS

ООО «Юбитех» UBLinux до 21.01

АО «ИВК» Альт 8 СП -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,7)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для QEMU:

Обновление программного обеспечения до 1:5.0-5 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета qemu) до 1:3.1+dfsg-8+deb10u5 или более поздней версии

Для Astra Linux:

Обновление программного обеспечения (пакета qemu) до 1:3.1+dfsg-8+deb10u5 или более поздней версии

Использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2020-04/msg00007.html

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4372-1

Для UBLinux:

https://security.ublinux.ru/ASA-202005-6/generate

Для ОС ОН «Стрелец»:

Обновление программного обеспечения qemu до версии 1:2.8+dfsg.repack-6+deb9u16.osnova1

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-20382
CVE

EPSS

Процентиль: 41%

0.00188

Низкий

3.5 Low

CVSS3

2.7 Low

CVSS2

Связанные уязвимости

CVE-2019-20382

CVSS3: 3.5

ubuntu

больше 5 лет назад

QEMU 4.1.0 has a memory leak in zrle_compress_data in ui/vnc-enc-zrle.c during a VNC disconnect operation because libz is misused, resulting in a situation where memory allocated in deflateInit2 is not freed in deflateEnd.

CVE-2019-20382

CVSS3: 3.5

redhat

почти 6 лет назад

CVE-2019-20382

CVSS3: 3.5

nvd

больше 5 лет назад

CVE-2019-20382

CVSS3: 3.5

debian

больше 5 лет назад

QEMU 4.1.0 has a memory leak in zrle_compress_data in ui/vnc-enc-zrle. ...

GHSA-gg7h-8w45-pgpg

CVSS3: 3.5

github

около 3 лет назад

EPSS

Процентиль: 41%

0.00188

Низкий

3.5 Low

CVSS3

2.7 Low

CVSS2