BDU:2023-08901

Опубликовано: 03 авг. 2023

Источник: fstec

CVSS3: 6.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость функции virtio_crypto_handle_sym_req эмулятора аппаратного обеспечения QEMU связана с записью за границами буфера. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

Fedora Project

АО «НТЦ ИТ РОСА»

Фабрис Беллар

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

Альт 8 СП

Fedora

РОСА ХРОМ

АЛЬТ СП 10

QEMU

ОСОН ОСнова Оnyx

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

38 (Fedora)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

до 8.1.0 (QEMU)

8.1.0 rc0 (QEMU)

8.1.0 rc1 (QEMU)

8.1.0 rc2 (QEMU)

до 2.11 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 38

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.11

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для QEMU:

https://gitlab.com/qemu-project/qemu/-/commit/9d38a8434721a6479fe03fb5afb150ca793d3980

https://gitlab.com/qemu-project/qemu/-/commit/49f1e02bac166821c712534aaa775f50e1afe17f

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-3180

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/MURWGXDIF2WTDXV36T6HFJDBL632AO7R/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОСОН ОСнова Оnyx (2.11):

Обновление программного обеспечения qemu до версии 1:7.2+dfsg-7+deb12u5osnova1

Для ОС Astra Linux:

обновить пакет qemu до 1:7.2+dfsg-7.astra.se17 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет qemu до 1:7.2+dfsg-7.astra.se18 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2641

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-3180
CVE

EPSS

Процентиль: 1%

0.00013

Низкий

6.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

ROS-20240329-15

CVSS3: 6.5

redos

около 1 года назад

Множественные уязвимости qemu

CVE-2023-3180

CVSS3: 6

ubuntu

почти 2 года назад

A flaw was found in the QEMU virtual crypto device while handling data encryption/decryption requests in virtio_crypto_handle_sym_req. There is no check for the value of `src_len` and `dst_len` in virtio_crypto_sym_op_helper, potentially leading to a heap buffer overflow when the two values differ.

CVE-2023-3180

CVSS3: 6

redhat

почти 2 года назад

CVE-2023-3180

CVSS3: 6

nvd

почти 2 года назад

CVE-2023-3180

CVSS3: 6.5

msrc

2 месяца назад

Описание отсутствует

EPSS

Процентиль: 1%

0.00013

Низкий

6.5 Medium

CVSS3

4.6 Medium

CVSS2