BDU:2021-03096

Опубликовано: 10 нояб. 2020

Источник: fstec

CVSS3: 7.3

CVSS2: 7.5

EPSS Средний

Описание

Уязвимость функции exif_entry_get_value компонента exif-entry.c библиотеки для грамматического разбора EXIF-файлов Libexif связана с целочисленным переполнением значения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информацию

Вендор

Red Hat Inc.

Google Inc

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Fedora Project

ООО «Ред Софт»

АО «ИВК»

АО «Концерн ВНИИНС»

Наименование ПО

Red Hat Enterprise Linux

Android

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Common Edition

Astra Linux Special Edition для «Эльбрус»

Fedora

Libexif

РЕД ОС

Альт 8 СП

ОС ОН «Стрелец»

Версия ПО

7 (Red Hat Enterprise Linux)

8.0 (Android)

9 (Debian GNU/Linux)

8.1 (Android)

1.6 «Смоленск» (Astra Linux Special Edition)

9.0 (Android)

8.0 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

10.0 (Android)

32 (Fedora)

33 (Fedora)

11.0 (Android)

до 0.6.22_p20201105 (Libexif)

7.3 (РЕД ОС)

- (Альт 8 СП)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Google Inc Android 8.0

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Google Inc Android 8.1

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Google Inc Android 9.0

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Google Inc Android 10.0

Fedora Project Fedora 32

Fedora Project Fedora 33

Google Inc Android 11.0

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,3)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для libexif:

Обновление PHP фреймворка Icinga Web 2 до более новой версии.

Для Debian GNU/Linux:

https://www.debian.org/security/2020/dsa-4786

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ELDZR6USD5PR34MRK2ZISLCYJ465FNKN/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SVBD5JRUQPN4LQHTAAJHA3MR5M7YTAC7/

Для Android:

https://source.android.com/security/bulletin/2020-11-01

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2020-0452

Для Альт 8 СП:

https://altsp.su/obnovleniya-bezopasnosti/

Для Astra Linux:

Использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144

https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения libexif до версии 0.6.21-2+deb9u5

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-0452
CVE

EPSS

Процентиль: 94%

0.14912

Средний

7.3 High

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2020-0452

CVSS3: 9.8

ubuntu

около 5 лет назад

In exif_entry_get_value of exif-entry.c, there is a possible out of bounds write due to an integer overflow. This could lead to remote code execution if a third party app used this library to process remote image data with no additional execution privileges needed. User interaction is not needed for exploitation.Product: AndroidVersions: Android-8.1 Android-9 Android-10 Android-11 Android-8.0Android ID: A-159625731

CVE-2020-0452

CVSS3: 9.8

redhat

около 5 лет назад

CVE-2020-0452

CVSS3: 9.8

nvd

около 5 лет назад

CVE-2020-0452

CVSS3: 9.8

debian

около 5 лет назад

In exif_entry_get_value of exif-entry.c, there is a possible out of bo ...

ROS-20250710-12

CVSS3: 9.8

redos

5 месяцев назад

Уязвимость libexif

EPSS

Процентиль: 94%

0.14912

Средний

7.3 High

CVSS3

7.5 High

CVSS2