BDU:2023-07626

Опубликовано: 04 авг. 2020

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции _nc_captoinfo компонента captoinfo.c библиотеки управления вводом-выводом на терминал Ncurses связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

АО «НТЦ ИТ РОСА»

АО "НППКТ"

ООО «Открытая мобильная платформа»

Наименование ПО

Astra Linux Special Edition

Debian GNU/Linux

Astra Linux Special Edition для «Эльбрус»

ROSA Virtualization

ncurses

ОСОН ОСнова Оnyx

ОС Аврора

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

2.1 (ROSA Virtualization)

до 6.2.1 включительно (ncurses)

до 2.10 (ОСОН ОСнова Оnyx)

до 5.1.4 включительно (ОС Аврора)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

ООО «Открытая мобильная платформа» ОС Аврора до 5.1.4 включительно

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Для Ncurses:

использование рекомендаций производителя: https://lists.gnu.org/archive/html/bug-ncurses/2020-08/msg00006.html

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-39537

Для ОС Astra Linux:

обновить пакет ncurses до 6.1+20181013-2+deb10u3+ci202309121705+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для Astra Linux 1.6 «Смоленск»:

обновить пакет ncurses до 6.0+20161126-1+deb9u2+ci202312011039+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения ncurses до версии 6.1+20181013-2+deb10u5

Для Astra Linux Special Edition 4.7:

Для ОС Astra Linux:

обновить пакет ncurses до 6.0+20161126-1+deb9u2+ci202402291455+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2779

Для ОС Аврора: https://cve.omp.ru/bb27514

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-39537
CVE

EPSS

Процентиль: 58%

0.00365

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2021-39537

CVSS3: 8.8

ubuntu

больше 4 лет назад

An issue was discovered in ncurses through v6.2-1. _nc_captoinfo in captoinfo.c has a heap-based buffer overflow.

CVE-2021-39537

CVSS3: 5.5

redhat

больше 5 лет назад

An issue was discovered in ncurses through v6.2-1. _nc_captoinfo in captoinfo.c has a heap-based buffer overflow.

CVE-2021-39537

CVSS3: 8.8

nvd

больше 4 лет назад

An issue was discovered in ncurses through v6.2-1. _nc_captoinfo in captoinfo.c has a heap-based buffer overflow.

CVE-2021-39537

CVSS3: 8.8

msrc

больше 4 лет назад

An issue was discovered in ncurses through v6.2-1. _nc_captoinfo in captoinfo.c has a heap-based buffer overflow.

CVE-2021-39537

CVSS3: 8.8

debian

больше 4 лет назад

An issue was discovered in ncurses through v6.2-1. _nc_captoinfo in ca ...

EPSS

Процентиль: 58%

0.00365

Низкий

8.8 High

CVSS3

10 Critical

CVSS2