BDU:2024-09439

Опубликовано: 15 окт. 2024

Источник: fstec

CVSS3: 8.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость функции ImageOverlay::parse() декодера и кодировщика форматов видео и фото файлов libheif связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

Canonical Ltd.

Struktur AG

АО «НППКТ»

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

АЛЬТ СП 10

Ubuntu

Libheif

ОСОН ОСнова Оnyx

Версия ПО

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (АЛЬТ СП 10)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

1.17.6 (Libheif)

до 2.12 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» АЛЬТ СП 10 -

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

АО «НППКТ» ОСОН ОСнова Оnyx до 2.12

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Libheif:

https://github.com/strukturag/libheif/pull/1227

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-41311

Для Ubuntu:

https://ubuntu.com/security/CVE-2024-41311

Для ОС Astra Linux:

обновить пакет libheif до 1.15.1-1+deb12u1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Обновление программного обеспечения libheif до версии 1.11.0-1+deb11u2

Для ОС Astra Linux:

обновить пакет libheif до 1.3.2-2+deb10u2+ci202411011855+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-41311
CVE

EPSS

Процентиль: 56%

0.00774

Низкий

8.1 High

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

ROS-20241029-06

CVSS3: 8.1

redos

около 2 лет назад

Уязвимость libheif

ALT-PU-2025-2122

CVSS3: 8.1

altlinux

почти 2 года назад

ALT-PU-2025-2122: package `libheif` update to version 1.19.5-alt1

ALT-PU-2024-17820

CVSS3: 8.1

altlinux

почти 2 года назад

ALT-PU-2024-17820: package `libheif` update to version 1.19.5-alt1

CVE-2024-41311

CVSS3: 8.1

ubuntu

около 2 лет назад

In Libheif 1.17.6, insufficient checks in ImageOverlay::parse() decoding a heif file containing an overlay image with forged offsets can lead to an out-of-bounds read and write.

CVE-2024-41311

CVSS3: 8.1

nvd

около 2 лет назад

In Libheif 1.17.6, insufficient checks in ImageOverlay::parse() decoding a heif file containing an overlay image with forged offsets can lead to an out-of-bounds read and write.

EPSS

Процентиль: 56%

0.00774

Низкий

8.1 High

CVSS3

9.4 Critical

CVSS2