BDU:2021-05225

Опубликовано: 13 июл. 2021

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость компонента Convert.c библиотеки для работы с изображениями Pillow связана с возможностью передачи параметров непосредственно в функцию. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Uploadcare, LLC

АО "НППКТ"

АО «ИВК»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

Pillow

ОСОН ОСнова Оnyx

АЛЬТ СП 10

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

от 1.0 до 1.1.7 включительно (Pillow)

от 1.2 до 8.2.0 включительно (Pillow)

до 2.4.3 (ОСОН ОСнова Оnyx)

- (АЛЬТ СП 10)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

АО "НППКТ" ОСОН ОСнова Оnyx до 2.4.3

АО «ИВК» АЛЬТ СП 10 -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для Pillow:

использование рекомендаций производителя: https://pillow.readthedocs.io/en/stable/releasenotes/8.3.0.html#buffer-overflow

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-34552

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Для ОСОН Основа:

Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3osnova1

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет pillow до 4.0.0-4+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux 1.6 «Смоленск»:

обновить пакет pillow до 4.0.0-4+deb9u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-34552
CVE

EPSS

Процентиль: 54%

0.0032

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-34552

CVSS3: 9.8

ubuntu

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 5.9

redhat

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 9.8

nvd

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1.7 allow an attacker to pass controlled parameters directly into a convert function to trigger a buffer overflow in Convert.c.

CVE-2021-34552

CVSS3: 9.8

debian

около 4 лет назад

Pillow through 8.2.0 and PIL (aka Python Imaging Library) through 1.1. ...

RLSA-2021:4149

rocky

больше 3 лет назад

Moderate: python-pillow security update

EPSS

Процентиль: 54%

0.0032

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2