Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-06990

Опубликовано: 20 фев. 2024
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость криптографической библиотеки Botan связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного сертификата ECDSA X.509

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
botan

Версия ПО

11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.8 (Astra Linux Special Edition)
до 2.19.4 (botan)
от 3.0.0 до 3.3.0 (botan)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Для Botan:
использование рекомендаций производителя: https://github.com/randombit/botan/security/advisories/GHSA-w4g2-7m2h-7xj7
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2024-34703
Для ОС Astra Linux Special Edition 1.8:
обновить пакет botan до 2.19.3+dfsg-1+ci202407151628+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2024-0905SE18MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 40%
0.00181
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
12 месяцев назад

Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. Prior to versions 3.3.0 and 2.19.4, an attacker could present an ECDSA X.509 certificate using explicit encoding where the parameters are very large. The proof of concept used a 16Kbit prime for this purpose. When parsing, the parameter is checked to be prime, causing excessive computation. This was patched in 2.19.4 and 3.3.0 to allow the prime parameter of the elliptic curve to be at most 521 bits. No known workarounds are available. Note that support for explicit encoding of elliptic curve parameters is deprecated in Botan.

CVSS3: 7.5
nvd
12 месяцев назад

Botan is a C++ cryptography library. X.509 certificates can identify elliptic curves using either an object identifier or using explicit encoding of the parameters. Prior to versions 3.3.0 and 2.19.4, an attacker could present an ECDSA X.509 certificate using explicit encoding where the parameters are very large. The proof of concept used a 16Kbit prime for this purpose. When parsing, the parameter is checked to be prime, causing excessive computation. This was patched in 2.19.4 and 3.3.0 to allow the prime parameter of the elliptic curve to be at most 521 bits. No known workarounds are available. Note that support for explicit encoding of elliptic curve parameters is deprecated in Botan.

CVSS3: 7.5
debian
12 месяцев назад

Botan is a C++ cryptography library. X.509 certificates can identify e ...

suse-cvrf
12 месяцев назад

Security update for MozillaThunderbird

CVSS3: 7.5
redos
12 месяцев назад

Уязвимость botan2

EPSS

Процентиль: 40%
0.00181
Низкий

7.5 High

CVSS3

7.8 High

CVSS2