BDU:2021-05238

Опубликовано: 18 мар. 2021

Источник: fstec

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Описание

Уязвимость компонента FliDecode библиотеки для работы с изображениями Pillow связана с некорректной проверкой, что продвижение блока ненулевое для данных FLI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Uploadcare, LLC

АО "НППКТ"

АО «ИВК»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

Pillow

ОСОН ОСнова Оnyx

АЛЬТ СП 10

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Debian GNU/Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

до 8.2.0 (Pillow)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 2.4.3 (ОСОН ОСнова Оnyx)

- (АЛЬТ СП 10)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.4.3

АО «ИВК» АЛЬТ СП 10 -

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для Pillow:

использование рекомендаций производителя: https://github.com/python-pillow/Pillow/commit/bb6c11fb889e6c11b0ee122b828132ee763b5856

Для ОС Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-28676

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Для ОСОН Основа:

Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3osnova1

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет pillow до 4.0.0-4+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux Special Edition 1.7 архитектуры x86-64:

обновить пакет pillow до 5.4.1-2+deb10u3+ci202311171309+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0212SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-28676
CVE

EPSS

Процентиль: 58%

0.00366

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2021-28676

CVSS3: 7.5

ubuntu

больше 4 лет назад

An issue was discovered in Pillow before 8.2.0. For FLI data, FliDecode did not properly check that the block advance was non-zero, potentially leading to an infinite loop on load.

CVE-2021-28676

CVSS3: 7.5

redhat

почти 5 лет назад

An issue was discovered in Pillow before 8.2.0. For FLI data, FliDecode did not properly check that the block advance was non-zero, potentially leading to an infinite loop on load.

CVE-2021-28676

CVSS3: 7.5

nvd

больше 4 лет назад

An issue was discovered in Pillow before 8.2.0. For FLI data, FliDecode did not properly check that the block advance was non-zero, potentially leading to an infinite loop on load.

CVE-2021-28676

CVSS3: 7.5

debian

больше 4 лет назад

An issue was discovered in Pillow before 8.2.0. For FLI data, FliDecod ...

GHSA-7r7m-5h27-29hp

CVSS3: 7.5

github

больше 4 лет назад

Potential infinite loop in Pillow

EPSS

Процентиль: 58%

0.00366

Низкий

7.5 High

CVSS3

5 Medium

CVSS2