BDU:2023-05413

Опубликовано: 21 окт. 2022

Источник: fstec

CVSS3: 6.5

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции writeSingleSection библиотеки LibTIFF libtiff связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

Red Hat Inc.

Сообщество свободного программного обеспечения

АО "НППКТ"

АО «НТЦ ИТ РОСА»

Silicon Graphics Corp.

Наименование ПО

Astra Linux Special Edition

Red Hat Enterprise Linux

Debian GNU/Linux

ОСОН ОСнова Оnyx

ROSA Virtualization

LibTIFF

ROSA Virtualization 3.0

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

9 (Red Hat Enterprise Linux)

до 2.7 (ОСОН ОСнова Оnyx)

2.1 (ROSA Virtualization)

до 4.4.0 включительно (LibTIFF)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Red Hat Inc. Red Hat Enterprise Linux 9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для libtiff:

https://gitlab.com/libtiff/libtiff/-/commit/e813112545942107551433d61afd16ac094ff246

https://gitlab.com/libtiff/libtiff/-/issues/398

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-3599

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2022-3599

Для Astra Linux 1.6 «Смоленск»:

обновить пакет tiff до 4.0.8-2+deb9u11 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения tiff до версии 4.4.0-6

Для ОС Astra Linux Special Edition 1.7:

обновить пакет tiff до 4.1.0+git191117-2~deb10u7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2750

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2725

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-3599
CVE

EPSS

Процентиль: 5%

0.00024

Низкий

6.5 Medium

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-3599

CVSS3: 5.5

ubuntu

больше 2 лет назад

LibTIFF 4.4.0 has an out-of-bounds read in writeSingleSection in tools/tiffcrop.c:7345, allowing attackers to cause a denial-of-service via a crafted tiff file. For users that compile libtiff from sources, the fix is available with commit e8131125.

CVE-2022-3599

CVSS3: 6.5

redhat

больше 3 лет назад

CVE-2022-3599

CVSS3: 5.5

nvd

больше 2 лет назад

CVE-2022-3599

CVSS3: 6.5

msrc

больше 2 лет назад

Описание отсутствует

CVE-2022-3599

CVSS3: 5.5

debian

больше 2 лет назад

LibTIFF 4.4.0 has an out-of-bounds read in writeSingleSection in tools ...

EPSS

Процентиль: 5%

0.00024

Низкий

6.5 Medium

CVSS3

10 Critical

CVSS2