BDU:2023-03849

Опубликовано: 29 апр. 2022

Источник: fstec

CVSS3: 6.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции parse_tag_and_wiretype компонента protobuf-c.c протокола сериализации данных на языке программирования C Protobuf-c связана с ошибками при освобождении ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Google Inc.

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

protobuf-c

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

1.4.0 (protobuf-c)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Для Protobuf-c:

использование рекомендаций производителя: https://github.com/protobuf-c/protobuf-c/issues/506

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-33070

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD

Для ОС Astra Linux Special Edition для архитектуры ARM 4.7:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-33070
CVE

EPSS

Процентиль: 13%

0.00045

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240703-08

CVSS3: 6.5

redos

12 месяцев назад

Уязвимость protobuf-c

CVE-2022-33070

CVSS3: 5.5

ubuntu

около 3 лет назад

Protobuf-c v1.4.0 was discovered to contain an invalid arithmetic shift via the function parse_tag_and_wiretype in protobuf-c/protobuf-c.c. This vulnerability allows attackers to cause a Denial of Service (DoS) via unspecified vectors.

CVE-2022-33070

CVSS3: 3.1

redhat

около 3 лет назад

CVE-2022-33070

CVSS3: 5.5

nvd

около 3 лет назад

CVE-2022-33070

CVSS3: 5.5

debian

около 3 лет назад

Protobuf-c v1.4.0 was discovered to contain an invalid arithmetic shif ...

EPSS

Процентиль: 13%

0.00045

Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2