BDU:2021-02749

Опубликовано: 25 мая 2021

Источник: fstec

CVSS3: 7.7

CVSS2: 7.3

EPSS Высокий

Описание

Уязвимость функции ngx_resolver_copy() сервера nginx связана с ошибкой единичного смещения в результате записи символа точки ('.', 0x2E) за пределы буфера кучи. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании путем отправки специально созданных UDP-пакетов

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

Oracle Corp.

Red Hat Inc.

ООО «Ред Софт»

Fedora Project

NGINX Inc.

АО «ИВК»

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Ubuntu

Oracle Communications Operations Monitor

Red Hat Enterprise Linux

РЕД ОС

Red Hat Software Collections

Ansible Tower

Fedora

Oracle Communications Session Border Controller

Oracle Enterprise Session Border Controller

nginx

Альт 8 СП

Blockchain Platform

ОСОН ОСнова Оnyx

Enterprise Communications Broker

ОС ОН «Стрелец»

GoldenGate

Oracle Enterprise Telephony Fraud Monitor

Oracle Communications Fraud Monitor

Oracle Communications Control Plane Monitor

Версия ПО

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

3.4 (Oracle Communications Operations Monitor)

8 (Red Hat Enterprise Linux)

14.04 ESM (Ubuntu)

10 (Debian GNU/Linux)

7.2 Муром (РЕД ОС)

- (Red Hat Software Collections)

20.04 LTS (Ubuntu)

20.10 (Ubuntu)

3 (Ansible Tower)

33 (Fedora)

8.4 (Oracle Communications Session Border Controller)

8.4 (Oracle Enterprise Session Border Controller)

21.04 (Ubuntu)

4.2 (Oracle Communications Operations Monitor)

4.3 (Oracle Communications Operations Monitor)

34 (Fedora)

16.04 ESM (Ubuntu)

от 0.6.18 до 1.20.1 (nginx)

- (Альт 8 СП)

9.0 (Oracle Enterprise Session Border Controller)

4.4 (Oracle Communications Operations Monitor)

до 21.1.2 (Blockchain Platform)

до 2.1 (ОСОН ОСнова Оnyx)

3.3 (Enterprise Communications Broker)

до 16.01.2023 (ОС ОН «Стрелец»)

9.0 (Oracle Communications Session Border Controller)

до 21.4.0.0.0 (GoldenGate)

3.4 (Oracle Enterprise Telephony Fraud Monitor)

4.2 (Oracle Enterprise Telephony Fraud Monitor)

4.3 (Oracle Enterprise Telephony Fraud Monitor)

4.4 (Oracle Enterprise Telephony Fraud Monitor)

от 3.4 до 4.4 включительно (Oracle Communications Fraud Monitor)

3.4 (Oracle Communications Control Plane Monitor)

4.2 (Oracle Communications Control Plane Monitor)

4.3 (Oracle Communications Control Plane Monitor)

4.4 (Oracle Communications Control Plane Monitor)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Средство защиты

Сетевое средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «Ред Софт» РЕД ОС 7.2 Муром

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 20.10

Fedora Project Fedora 33

Canonical Ltd. Ubuntu 21.04

Fedora Project Fedora 34

Canonical Ltd. Ubuntu 16.04 ESM

АО «ИВК» Альт 8 СП -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для nginx:

http://nginx.org/en/security_advisories.html

Для РЕД ОС:

http://repo.red-soft.ru/redos/7.2c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2021-23017

Для Ubuntu:

https://ubuntu.com/security/notices/USN-4967-1

https://ubuntu.com/security/notices/USN-4967-2

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-23017

Для ОСОН Основа:

Обновление программного обеспечения nginx до версии 1.14.2-2+deb10u4

Для ОС ОН «Стрелец»:

Обновление программного обеспечения nginx до версии 1.10.3-1+deb9u7

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/GNKOP2JR5L7KCIZTJRZDCUPJTUONMC5I/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/7SFVYHC7OXTEO4SMBWXDVK6E5IMEYMEE/

Для продуктов Oracle:

https://www.oracle.com/security-alerts/cpuoct2021.html

https://www.oracle.com/security-alerts/cpujan2022.html

https://www.oracle.com/security-alerts/cpuapr2022.html

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-23017
CVE

EPSS

Процентиль: 99%

0.76458

Высокий

7.7 High

CVSS3

7.3 High

CVSS2

Связанные уязвимости

CVE-2021-23017

CVSS3: 7.7

ubuntu

около 4 лет назад

A security issue in nginx resolver was identified, which might allow an attacker who is able to forge UDP packets from the DNS server to cause 1-byte memory overwrite, resulting in worker process crash or potential other impact.

CVE-2021-23017

CVSS3: 8.1

redhat

около 4 лет назад

CVE-2021-23017

CVSS3: 7.7

nvd

около 4 лет назад

CVE-2021-23017

CVSS3: 7.7

msrc

около 4 лет назад

Описание отсутствует

CVE-2021-23017

CVSS3: 7.7

debian

около 4 лет назад

A security issue in nginx resolver was identified, which might allow a ...

EPSS

Процентиль: 99%

0.76458

Высокий

7.7 High

CVSS3

7.3 High

CVSS2