BDU:2023-05898

Опубликовано: 21 мая 2020

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции ares_parse_soa_reply() библиотеки асинхронных DNS-запросов C-ares связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «РусБИТех-Астра»

АО «НТЦ ИТ РОСА»

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

Ubuntu

Astra Linux Special Edition

ROSA Virtualization

c-ares

ОСОН ОСнова Оnyx

Версия ПО

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

2.1 (ROSA Virtualization)

до 1.19.1 (c-ares)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для C-ares:

https://github.com/c-ares/c-ares/commit/1b98172b141fe874ad43e679e67506f9b2139043

https://github.com/c-ares/c-ares/releases/tag/c-ares-1_17_0

https://github.com/c-ares/c-ares/issues/333

https://github.com/c-ares/c-ares/pull/332

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2023/09/msg00014.html

https://security-tracker.debian.org/tracker/CVE-2020-22217

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6376-1

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения c-ares до версии 1.14.0-1+deb10u4

Для ОС Astra Linux Special Edition 1.7 архитектуры x86-64:

обновить пакет c-ares до 1.14.0-1+deb10u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0212SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет c-ares до 1.14.0-1+deb10u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2775

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-22217
CVE

EPSS

Процентиль: 31%

0.00115

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2020-22217

CVSS3: 5.9

ubuntu

почти 2 года назад

Buffer overflow vulnerability in c-ares before 1_16_1 thru 1_17_0 via function ares_parse_soa_reply in ares_parse_soa_reply.c.

CVE-2020-22217

CVSS3: 5.9

redhat

почти 2 года назад

Buffer overflow vulnerability in c-ares before 1_16_1 thru 1_17_0 via function ares_parse_soa_reply in ares_parse_soa_reply.c.

CVE-2020-22217

CVSS3: 5.9

nvd

почти 2 года назад

Buffer overflow vulnerability in c-ares before 1_16_1 thru 1_17_0 via function ares_parse_soa_reply in ares_parse_soa_reply.c.

CVE-2020-22217

CVSS3: 5.9

msrc

5 месяцев назад

Описание отсутствует

CVE-2020-22217

CVSS3: 5.9

debian

почти 2 года назад

Buffer overflow vulnerability in c-ares before 1_16_1 thru 1_17_0 via ...

EPSS

Процентиль: 31%

0.00115

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2