Описание
Уязвимость компонента dstring.c пакета cpio операционной системы Debian GNU/Linux вызвана целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать переполнение стека через созданный файл
Вендор
Сообщество свободного программного обеспечения
Canonical Ltd.
Red Hat, Inc.
Novell Inc.
АО «Концерн ВНИИНС»
The GNU Project
ООО «Ред Софт»
ООО «РусБИТех-Астра»
АО «ИВК»
АО «НППКТ»
ООО «КНС ГРУПП»
Наименование ПО
Debian GNU/Linux
Ubuntu
Red Hat Enterprise Linux
OpenSUSE Leap
ОС ОН «Стрелец»
Сpio
РЕД ОС
Astra Linux Special Edition
Альт 8 СП
ОСОН ОСнова Оnyx
Astra Linux Common Edition
АЛЬТ СП 10
Татлин-Юнифайд
Версия ПО
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
20.04 LTS (Ubuntu)
15.2 (OpenSUSE Leap)
21.04 (Ubuntu)
15.3 (OpenSUSE Leap)
1.0 (ОС ОН «Стрелец»)
11 (Debian GNU/Linux)
до 2.13 включительно (Сpio)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
4.7 (Astra Linux Special Edition)
до 2.5 (ОСОН ОСнова Оnyx)
1.6 «Смоленск» (Astra Linux Common Edition)
- (АЛЬТ СП 10)
до 16.01.2023 (ОС ОН «Стрелец»)
до 3.2.1 (Татлин-Юнифайд)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Red Hat, Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Novell Inc. OpenSUSE Leap 15.2
Canonical Ltd. Ubuntu 21.04
Novell Inc. OpenSUSE Leap 15.3
АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»
АО «ИВК» АЛЬТ СП 10 -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,3)
Возможные меры по устранению уязвимости
Использование рекомендаций:
https://lists.gnu.org/archive/html/bug-cpio/2021-08/msg00002.html
https://lists.gnu.org/archive/html/bug-cpio/2021-08/msg00000.html
https://git.savannah.gnu.org/cgit/cpio.git/commit/?id=dd96882877721703e19272fe25034560b794061b
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2021-38185
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/hydra/rest/securitydata/cve/CVE-2021-38185.xml
Для Ubuntu
https://ubuntu.com/security/CVE-2021-38185
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-38185
Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#08122021
Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для ОСОН Основа:
Обновление программного обеспечения cpio до версии 2.13+dfsg-7
Для ОС ОН «Стрелец»:
Обновление программного обеспечения cpio до версии 2.12+dfsg-6ubuntu0.18.04.4
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС Astra Linux:
обновить пакет cpio до 2.11+dfsg-6+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16
Для программного обеспечения «Татлин-Юнифайд»:
обновление до версии 3.2.1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 91%
0.04165
Низкий
7.3 High
CVSS3
6.8 Medium
CVSS2
Связанные уязвимости
CVSS3: 7.8
altlinux
около 3 лет назад
ALT-PU-2023-5721: package `cpio` update to version 2.14.0.4.e3cc-alt1
CVSS3: 7.8
altlinux
больше 1 года назад
ALT-PU-2025-5537: package `cpio` update to version 2.12-alt2.c10.1
CVSS3: 7.8
ubuntu
больше 5 лет назад
GNU cpio through 2.13 allows attackers to execute arbitrary code via a crafted pattern file, because of a dstring.c ds_fgetstr integer overflow that triggers an out-of-bounds heap write. NOTE: it is unclear whether there are common cases where the pattern file, associated with the -E option, is untrusted data.
EPSS
Процентиль: 91%
0.04165
Низкий
7.3 High
CVSS3
6.8 Medium
CVSS2