Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-04594

Опубликовано: 07 мая 2020
Источник: fstec
CVSS3: 3.3
CVSS2: 2.1
EPSS Низкий

Описание

Уязвимость функций ares_destroy() и ares_getaddrinfo() библиотеки асинхронных DNS-запросов C-ares связана с возможностью вызова ares_destroy() до завершения ares_getaddrinfo(). Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Debian GNU/Linux
c-ares

Версия ПО

9 (Debian GNU/Linux)
8.0 (Debian GNU/Linux)
10 (Debian GNU/Linux)
1.16.0 (c-ares)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 2,1)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,3)

Возможные меры по устранению уязвимости

Для C-ares:
использование рекомендаций производителя: https://c-ares.haxx.se/changelog.html
Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-14354

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 41%
0.00188
Низкий

3.3 Low

CVSS3

2.1 Low

CVSS2

Связанные уязвимости

CVSS3: 3.3
ubuntu
около 4 лет назад

A possible use-after-free and double-free in c-ares lib version 1.16.0 if ares_destroy() is called prior to ares_getaddrinfo() completing. This flaw possibly allows an attacker to crash the service that uses c-ares lib. The highest threat from this vulnerability is to this service availability.

CVSS3: 5.9
redhat
около 5 лет назад

A possible use-after-free and double-free in c-ares lib version 1.16.0 if ares_destroy() is called prior to ares_getaddrinfo() completing. This flaw possibly allows an attacker to crash the service that uses c-ares lib. The highest threat from this vulnerability is to this service availability.

CVSS3: 3.3
nvd
около 4 лет назад

A possible use-after-free and double-free in c-ares lib version 1.16.0 if ares_destroy() is called prior to ares_getaddrinfo() completing. This flaw possibly allows an attacker to crash the service that uses c-ares lib. The highest threat from this vulnerability is to this service availability.

CVSS3: 3.3
debian
около 4 лет назад

A possible use-after-free and double-free in c-ares lib version 1.16.0 ...

CVSS3: 3.3
github
около 3 лет назад

A possible use-after-free and double-free in c-ares lib version 1.16.0 if ares_destroy() is called prior to ares_getaddrinfo() completing. This flaw possibly allows an attacker to crash the service that uses c-ares lib. The highest threat from this vulnerability is to this service availability.

EPSS

Процентиль: 41%
0.00188
Низкий

3.3 Low

CVSS3

2.1 Low

CVSS2