BDU:2024-01356

Опубликовано: 23 нояб. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции derive_combined_bipredictive_merging_candidates (motion.cc) реализации видеокодека h.265 Libde265 связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать влияние на конфиденциальность, целостность и доступность защищаемой информации

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

ООО «Ред Софт»

АО «ИВК»

АО «НТЦ ИТ РОСА»

Struktur AG

АО "НППКТ"

Наименование ПО

Astra Linux Special Edition

Debian GNU/Linux

РЕД ОС

Альт 8 СП

РОСА ХРОМ

АЛЬТ СП 10

Libde265

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

до 1.0.15 (Libde265)

до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- контроль видеофайлов, полученных из недоверенных источников, с использованием антивирусного программного обеспечения;

- ограничение доступа к базовой операционной системе из внешних сетей (Интернет).

Использование рекомендаций:

Для Libde265:

https://github.com/strukturag/libde265/releases/tag/v1.0.15

https://github.com/strukturag/libde265/commit/7e4faf254bbd2e52b0f216cb987573a2cce97b54

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-49467

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения libde265 до версии 1.0.15-1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет libde265 до 1.0.11-0+deb10u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 1.6 «Смоленск»::

обновить пакет libde265 до 1.0.2-2+ci202406111041+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет libde265 до 1.0.11-0+deb10u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2651

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-49467
CVE

EPSS

Процентиль: 40%

0.00179

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240408-03

CVSS3: 8.8

redos

около 1 года назад

Множественные уязвимости libde265

CVE-2023-49467

CVSS3: 8.8

ubuntu

больше 1 года назад

Libde265 v1.0.14 was discovered to contain a heap-buffer-overflow vulnerability in the derive_combined_bipredictive_merging_candidates function at motion.cc.

CVE-2023-49467

CVSS3: 8.8

nvd

больше 1 года назад

Libde265 v1.0.14 was discovered to contain a heap-buffer-overflow vulnerability in the derive_combined_bipredictive_merging_candidates function at motion.cc.

CVE-2023-49467

CVSS3: 8.8

debian

больше 1 года назад

Libde265 v1.0.14 was discovered to contain a heap-buffer-overflow vuln ...

GHSA-x895-cm39-f6wq

CVSS3: 8.8

github

больше 1 года назад

Libde265 v1.0.14 was discovered to contain a heap-buffer-overflow vulnerability in the derive_combined_bipredictive_merging_candidates function at motion.cc.

EPSS

Процентиль: 40%

0.00179

Низкий

8.8 High

CVSS3

10 Critical

CVSS2