BDU:2023-08650

Опубликовано: 19 окт. 2021

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции декодирования кадров сетевого программного средства Netty связана с неконтролируемым расходом ресурсов Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

NetApp Inc.

Red Hat Inc.

Canonical Ltd.

Oracle Corp.

Novell Inc.

АО "НППКТ"

Apache Software Foundation

SonarSource

Наименование ПО

Debian GNU/Linux

Oncommand Insight

JBoss Data Grid

Red Hat Single Sign-On

Red Hat JBoss Fuse

Red Hat OpenStack Platform

Red Hat JBoss Data Virtualization

Red Hat BPM Suite

Ubuntu

A-MQ Clients

Oracle Banking Digital Experience

Red Hat build of Quarkus

Red Hat Integration Camel K

Red Hat Integration Service Registry

OpenSUSE Leap

Red Hat JBoss BRMS

Red Hat JBoss Fuse Service Works

Oracle WebCenter Portal

OpenShift Logging

SUSE Manager Server

Red Hat OpenShift Container Platform

Oracle Banking APIs

Decision Manager

Commerce Guided Search

Communications Cloud Native Core Binding Support Function

Communications Diameter Signaling Router

ОСОН ОСнова Оnyx

SUSE Linux Enterprise Module for Package Hub

Red Hat JBoss Enterprise Application Platform

netty

Communications BRM - Elastic Charging Engine

quarkus

Red Hat Satellite

Oracle PeopleSoft Enterprise PeopleTools

Red Hat Fuse

SonarQube

Red Hat AMQ Streams

Red Hat AMQ

Logging subsystem for Red Hat OpenShift

Red Hat Integration Camel Quarkus

Red Hat Data Grid

Red Hat Process Automation Manager

Vert.x

Версия ПО

10 (Debian GNU/Linux)

- (Oncommand Insight)

7 (JBoss Data Grid)

7 (Red Hat Single Sign-On)

6 (Red Hat JBoss Fuse)

10.0 (Newton) (Red Hat OpenStack Platform)

13.0 (Queens) (Red Hat OpenStack Platform)

6 (Red Hat JBoss Data Virtualization)

6 (Red Hat BPM Suite)

20.04 LTS (Ubuntu)

2 (A-MQ Clients)

19.1 (Oracle Banking Digital Experience)

19.2 (Oracle Banking Digital Experience)

20.1 (Oracle Banking Digital Experience)

16.04 ESM (Ubuntu)

- (Red Hat build of Quarkus)

- (Red Hat Integration Camel K)

- (Red Hat Integration Service Registry)

15.3 (OpenSUSE Leap)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

6 (Red Hat JBoss BRMS)

6 (Red Hat JBoss Fuse Service Works)

12.2.1.3.0 (Oracle WebCenter Portal)

12.2.1.4.0 (Oracle WebCenter Portal)

5.1 (OpenShift Logging)

5.2 (OpenShift Logging)

5.3 (OpenShift Logging)

4.2 (SUSE Manager Server)

4.1 (SUSE Manager Server)

3.11 (Red Hat OpenShift Container Platform)

4 (Red Hat OpenShift Container Platform)

21.1 (Oracle Banking Digital Experience)

от 18.1 до 18.3 включительно (Oracle Banking APIs)

19.1 (Oracle Banking APIs)

19.2 (Oracle Banking APIs)

20.1 (Oracle Banking APIs)

21.1 (Oracle Banking APIs)

22.04 LTS (Ubuntu)

4.3 (SUSE Manager Server)

7 (Decision Manager)

11.3.2 (Commerce Guided Search)

1.10.0 (Communications Cloud Native Core Binding Support Function)

22.10 (Ubuntu)

от 8.0.0.0 до 8.5.0.2 включительно (Communications Diameter Signaling Router)

до 2.7 (ОСОН ОСнова Оnyx)

18.04 ESM (Ubuntu)

15 SP5 (SUSE Linux Enterprise Module for Package Hub)

7 (Red Hat JBoss Enterprise Application Platform)

до 4.1.68 (netty)

до 12.0.0.4.6 (Communications BRM - Elastic Charging Engine)

до 12.0.0.5.1 (Communications BRM - Elastic Charging Engine)

от 18.1 до 18.3 включительно (Oracle Banking Digital Experience)

до 2.2.4 (quarkus)

6.12 for RHEL 8 (Red Hat Satellite)

8.58 (Oracle PeopleSoft Enterprise PeopleTools)

8.57 (Oracle PeopleSoft Enterprise PeopleTools)

8.59 (Oracle PeopleSoft Enterprise PeopleTools)

7.10 (Red Hat Fuse)

9.3.3 (SonarQube)

7.4 for RHEL 8 (Red Hat JBoss Enterprise Application Platform)

7.4 on RHEL 7 (Red Hat JBoss Enterprise Application Platform)

2.0.0 (Red Hat AMQ Streams)

7.9.1 (Red Hat AMQ)

5.4 (Logging subsystem for Red Hat OpenShift)

2.2.1 (Red Hat Integration Camel Quarkus)

2.3.0 GA (Red Hat Integration Service Registry)

2.2.5 (Red Hat build of Quarkus)

8.3.0 (Red Hat Data Grid)

7.13.0 (Red Hat Process Automation Manager)

4.1.5 (Vert.x)

2.4.0 (Red Hat AMQ Streams)

2.5.0 (Red Hat AMQ Streams)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

ПО программно-аппаратного средства

ПО сетевого программно-аппаратного средства

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 16.04 ESM

Novell Inc. OpenSUSE Leap 15.3

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Canonical Ltd. Ubuntu 22.04 LTS

Canonical Ltd. Ubuntu 22.10

АО "НППКТ" ОСОН ОСнова Оnyx до 2.7

Canonical Ltd. Ubuntu 18.04 ESM

Novell Inc. SUSE Linux Enterprise Module for Package Hub 15 SP5

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6049-1

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2021-37137

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2021-37137

Для программных продуктов NetApp Inc.:

https://security.netapp.com/advisory/ntap-20220210-0012/

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2021-37137.html

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuapr2022.html

https://www.oracle.com/security-alerts/cpujan2022.html

https://www.oracle.com/security-alerts/cpujul2022.html

Для quarkus:

Обновление программного обеспечения до версии 2.2.4 и выше

Для программных продуктов SonarSource

Компенсирующие меры:

- использование антивирусных средств защиты для отслеживания попыток эксплуатации уязвимости;

- мониторинг действий пользователей;

- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе.

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения netty до версии 1:4.1.33-1+deb10u3

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-37137
CVE

EPSS

Процентиль: 85%

0.02383

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2021-37137

CVSS3: 7.5

ubuntu

больше 4 лет назад

The Snappy frame decoder function doesn't restrict the chunk length which may lead to excessive memory usage. Beside this it also may buffer reserved skippable chunks until the whole chunk was received which may lead to excessive memory usage as well. This vulnerability can be triggered by supplying malicious input that decompresses to a very big size (via a network stream or a file) or by sending a huge skippable chunk.

CVE-2021-37137

CVSS3: 7.5

redhat

больше 4 лет назад

CVE-2021-37137

CVSS3: 7.5

nvd

больше 4 лет назад

CVE-2021-37137

CVSS3: 7.5

debian

больше 4 лет назад

The Snappy frame decoder function doesn't restrict the chunk length wh ...

GHSA-9vjp-v76f-g363

CVSS3: 7.5

github

больше 4 лет назад

SnappyFrameDecoder doesn't restrict chunk length any may buffer skippable chunks in an unnecessary way

EPSS

Процентиль: 85%

0.02383

Низкий

7.5 High

CVSS3

7.8 High

CVSS2