BDU:2022-02658

Опубликовано: 08 апр. 2022

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции fribidi_remove_bidi_marks() библиотеки GNU FriBidi существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «РусБИТех-Астра»

Red Hat Inc.

ООО «Ред Софт»

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Ubuntu

Astra Linux Special Edition

Red Hat Enterprise Linux

Astra Linux Special Edition для «Эльбрус»

РЕД ОС

FriBidi

ОСОН ОСнова Оnyx

ROSA Virtualization

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

20.04 LTS (Ubuntu)

21.10 (Ubuntu)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

до 1.0.12 (FriBidi)

4.7 (Astra Linux Special Edition)

до 2.5.1 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 21.10

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5.1

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для GNU FriBidi:

https://github.com/fribidi/fribidi/commit/175850b03e1af251d705c1d04b2b9b3c1c06e48f

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-25310

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-25310

Для Ubuntu:

https://ubuntu.com/security/CVE-2022-25310

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:

Обновление программного обеспечения fribidi до версии 1.0.8-2.1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет fribidi до 0.19.7-1+deb9u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения fribidi до версии 0.19.7-1+deb9u2

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для системы управления средой виртуализации «ROSA Virtualization» : https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2290

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-25310
CVE

EPSS

Процентиль: 2%

0.00016

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240408-10

CVSS3: 9.8

redos

около 1 года назад

Множественные уязвимости fribidi

CVE-2022-25310

CVSS3: 5.5

ubuntu

почти 3 года назад

A segmentation fault (SEGV) flaw was found in the Fribidi package and affects the fribidi_remove_bidi_marks() function of the lib/fribidi.c file. This flaw allows an attacker to pass a specially crafted file to Fribidi, leading to a crash and causing a denial of service.

CVE-2022-25310

CVSS3: 5.5

redhat

больше 3 лет назад

CVE-2022-25310

CVSS3: 5.5

nvd

почти 3 года назад

CVE-2022-25310

CVSS3: 5.5

msrc

почти 3 года назад

Описание отсутствует

EPSS

Процентиль: 2%

0.00016

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2