BDU:2016-01582 (CVE-2012-3480) — уязвимости библиотеки glibc

По данным БДУ ФСТЭК России, по состоянию на 19.08.2021.

Средний — 4.6/10 Публичный эксплойт Устранена

Множественные уязвимости функций trtod, strtof, strtold, strtod_l компонента stdlib библиотеки, обеспечивающей системные вызовы и основные функции, glibc вызвана целочисленным переполнением. Эксплуатация уязвимостей может позволить нарушителю, действующему локально, вызвать отказ в обслуживании или выполнить произвольный код (завершение работы приложения) при помощи специально сформированной длинной строки, приводящей к переполнению буфера на стеке

Кого касается и что делать

Уязвимое ПО: glibc (The GNU Project) — версии 2.16; РОСА Кобальт (АО «НТЦ ИТ РОСА»)
Что делать: уязвимость устранена производителем — применить исправления: bugzilla.redhat.com, wiki.rosalab.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2016-01582 · CVE-2012-3480
Уровень опасности	Средний (базовая оценка CVSS 2.0 — 4.6)
Вектор CVSS 2.0	AV:L/AC:L/Au:N/C:P/I:P/A:P нужен локальный доступ, низкая сложность, без аутентификации, частичное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимости библиотеки, обеспечивающей системные вызовы и основные функции glibc, позволяющие нарушителю вызвать отказ в обслуживании или выполнить произвольный код
Даты	Опубликована: 11.07.2016 · Обновлена ФСТЭК: 19.08.2021 · Выявлена: 25.08.2012
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-189 — ошибки, возникающие при обработке чисел
Класс уязвимости	Уязвимость кода