Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-06396

Опубликовано: 12 окт. 2022
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость библиотеки среды выполнения Java Protocol Buffers protobuf-java связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
Google Inc
ООО «Открытая мобильная платформа»

Наименование ПО

Debian GNU/Linux
РЕД ОС
Protobuf
Android Studio
ОС Аврора

Версия ПО

10 (Debian GNU/Linux)
7.3 (РЕД ОС)
до 3.16.3 (Protobuf)
до 3.19.6 (Protobuf)
до 3.20.3 (Protobuf)
до 3.21.7 (Protobuf)
2023.1.1.27 (Android Studio)
2022.2.1 (Android Studio)
до 5.1.4 включительно (ОС Аврора)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «Ред Софт» РЕД ОС 7.3
ООО «Открытая мобильная платформа» ОС Аврора до 5.1.4 включительно

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для protobuf-java:
https://github.com/protocolbuffers/protobuf/security/advisories/GHSA-h4h5-3hr4-j3g2
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-protobuf-java-cve-2022-3171/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-3171
Компенсирующие меры для Android Studio:
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование виртуальных частных сетей для организации удаленного доступа (VPN);
- контроль действий пользователей.
Для ОС Аврора: https://cve.omp.ru/bb27514

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 26%
0.0009
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 4.3
ubuntu
около 3 лет назад

A parsing issue with binary data in protobuf-java core and lite versions prior to 3.21.7, 3.20.3, 3.19.6 and 3.16.3 can lead to a denial of service attack. Inputs containing multiple instances of non-repeated embedded messages with repeated or unknown fields causes objects to be converted back-n-forth between mutable and immutable forms, resulting in potentially long garbage collection pauses. We recommend updating to the versions mentioned above.

CVSS3: 7.5
redhat
около 3 лет назад

A parsing issue with binary data in protobuf-java core and lite versions prior to 3.21.7, 3.20.3, 3.19.6 and 3.16.3 can lead to a denial of service attack. Inputs containing multiple instances of non-repeated embedded messages with repeated or unknown fields causes objects to be converted back-n-forth between mutable and immutable forms, resulting in potentially long garbage collection pauses. We recommend updating to the versions mentioned above.

CVSS3: 4.3
nvd
около 3 лет назад

A parsing issue with binary data in protobuf-java core and lite versions prior to 3.21.7, 3.20.3, 3.19.6 and 3.16.3 can lead to a denial of service attack. Inputs containing multiple instances of non-repeated embedded messages with repeated or unknown fields causes objects to be converted back-n-forth between mutable and immutable forms, resulting in potentially long garbage collection pauses. We recommend updating to the versions mentioned above.

CVSS3: 7.5
msrc
около 1 года назад

Описание отсутствует

CVSS3: 4.3
debian
около 3 лет назад

A parsing issue with binary data in protobuf-java core and lite versio ...

EPSS

Процентиль: 26%
0.0009
Низкий

7.5 High

CVSS3

7.8 High

CVSS2