Описание
Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP связана с переполнением буфера в «куче». Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем создания специально сформированного файла
Вендор
ООО «РусБИТех-Астра»
ООО «Ред Софт»
Google Inc.
АО «НТЦ ИТ РОСА»
АО "НППКТ"
АО «Концерн ВНИИНС»
Наименование ПО
Astra Linux Special Edition
РЕД ОС
Astra Linux Special Edition для «Эльбрус»
libwebp
ROSA Virtualization
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»
ROSA Virtualization 3.0
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
7.2 Муром (РЕД ОС)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
от 0.1.2 до 1.0.1 rc2 (libwebp)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
2.1 (ROSA Virtualization)
до 2.8 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
ООО «Ред Софт» РЕД ОС 7.2 Муром
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО "НППКТ" ОСОН ОСнова Оnyx до 2.8
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/
Для libwebp:
https://chromium.googlesource.com/webm/libwebp/+log/be738c6d396fa5a272c1b209be4379a7532debfe..29fb8562c60b5a919a75d904ff7366af423f8ab9?pretty=fuller&n=10000
Для Astra Linux:
Использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
Для системы управления средой виртуализации «ROSA Virtualization»:
https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2183
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения libwebp до версии 0.6.1+repack-2+deb10u2.osnova1
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет libwebp до 0.6.1-2+deb10u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libwebp до версии 0.5.2-1+deb9u1
Для ОС Astra Linux Special Edition 1.7:
обновить пакет libwebp до 0.6.1-2+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2684
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 58%
0.00376
Низкий
8.8 High
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
ubuntu
около 4 лет назад
A heap-based buffer overflow was found in libwebp in versions before 1.0.1 in PutLE16().
CVSS3: 9.8
redhat
почти 7 лет назад
A heap-based buffer overflow was found in libwebp in versions before 1.0.1 in PutLE16().
CVSS3: 9.8
nvd
около 4 лет назад
A heap-based buffer overflow was found in libwebp in versions before 1.0.1 in PutLE16().
CVSS3: 9.8
debian
около 4 лет назад
A heap-based buffer overflow was found in libwebp in versions before 1 ...
EPSS
Процентиль: 58%
0.00376
Низкий
8.8 High
CVSS3
10 Critical
CVSS2