BDU:2022-05993

Опубликовано: 25 авг. 2022

Источник: fstec

CVSS3: 7.8

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость функции JBIG2Stream::readTextRegionSeg() декодера JBIG2 библиотеки для отображения PDF-файлов Poppler связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код путем открытия специально созданного PDF-файла или файла изображения JBIG2

Вендор

Canonical Ltd.

ООО «РусБИТех-Астра»

Red Hat Inc.

Сообщество свободного программного обеспечения

Novell Inc.

Fedora Project

ООО «Ред Софт»

АО "НППКТ"

Наименование ПО

Ubuntu

Astra Linux Special Edition

Red Hat Enterprise Linux

Debian GNU/Linux

Astra Linux Special Edition для «Эльбрус»

openSUSE Tumbleweed

Fedora

РЕД ОС

Poppler

ОСОН ОСнова Оnyx

Версия ПО

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

- (openSUSE Tumbleweed)

20.04 LTS (Ubuntu)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

35 (Fedora)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

36 (Fedora)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

до 22.08.0 включительно (Poppler)

4.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Fedora Project Fedora 35

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Fedora Project Fedora 36

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Poppler:

https://poppler.freedesktop.org/releases.html

https://gitlab.freedesktop.org/poppler/poppler/-/merge_requests/1261/diffs?commit_id=27354e9d9696ee2bc063910a6c9a6b27c5184a52

Для Ubuntu:

https://ubuntu.com/security/notices/USN-5606-1

https://ubuntu.com/security/notices/USN-5606-2

Для Debian:

https://www.debian.org/security/2022/dsa-5224

https://lists.debian.org/debian-lts-announce/2022/09/msg00030.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TQAO6O2XHPQHNW2MWOCJJ4C3YWS2VV4K/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/J546EJUKUOPWA3JSLP7DYNBAU3YGNCCW/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-38784

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2022-38784.html

Для РЕД ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/vypolnenie-proizvolnogo-koda-v-poppler-cve-2022-38784/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения poppler до версии 0.71.0-5+deb10u1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет poppler до 0.48.0-2+deb9u4+ci202211281202+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-38784
CVE

EPSS

Процентиль: 18%

0.00057

Низкий

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

ROS-20220926-02

redos

почти 3 года назад

Выполнение произвольного кода в Poppler

CVE-2022-38784

CVSS3: 7.8

ubuntu

почти 3 года назад

Poppler prior to and including 22.08.0 contains an integer overflow in the JBIG2 decoder (JBIG2Stream::readTextRegionSeg() in JBIGStream.cc). Processing a specially crafted PDF file or JBIG2 image could lead to a crash or the execution of arbitrary code. This is similar to the vulnerability described by CVE-2022-38171 in Xpdf.

CVE-2022-38784

CVSS3: 7.8

redhat

почти 3 года назад

CVE-2022-38784

CVSS3: 7.8

nvd

почти 3 года назад

CVE-2022-38784

CVSS3: 7.8

debian

почти 3 года назад

Poppler prior to and including 22.08.0 contains an integer overflow in ...

EPSS

Процентиль: 18%

0.00057

Низкий

7.8 High

CVSS3

7.2 High

CVSS2