BDU:2019-03309 (CVE-2018-5155) — уязвимость механизма обработки SVG-объектов браузеров Firefox ESR, Firefox и почтового клиента Thunderbird

По данным БДУ ФСТЭК России, по состоянию на 19.08.2021.

Высокий — 7.5/10 Устранена

Уязвимость механизма обработки SVG-объектов браузеров Firefox ESR, Firefox и почтового клиента Thunderbird связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 14.04 LTS, 16.04 LTS, 17.10, 18.04 LTS; Red Hat Enterprise Linux (Red Hat) — версии 6, 7; Альт Линукс СПТ (АО «ИВК») — версии 7.0; и ещё 19 позиций
Что делать: уязвимость устранена производителем — применить исправления: bugzilla.mozilla.org, usn.ubuntu.com, usn.ubuntu.com

Сведения об уязвимости

Идентификаторы	BDU:2019-03309 · CVE-2018-5155
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.6)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:R/S:U/C:H/I:H/A:H атака по сети, высокая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость механизма обработки SVG-объектов браузеров Firefox ESR, Firefox и почтового клиента Thunderbird, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании
Даты	Опубликована: 27.09.2019 · Обновлена ФСТЭК: 19.08.2021 · Выявлена: 09.05.2018
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-416 — использование после освобождения
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Ubuntu (Canonical) — версии 14.04 LTS, 16.04 LTS, 17.10, 18.04 LTS · операционная система
Red Hat Enterprise Linux (Red Hat) — версии 6, 7 · операционная система
Альт Линукс СПТ (АО «ИВК») — 7.0 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 7 · операционная система
OpenSUSE Leap (Novell) — версии 42.3, 15.0 · операционная система
Firefox ESR (Mozilla) — до 52.8 · прикладное ПО информационных систем
Suse Linux Enterprise Desktop (Novell) — версии 12 SP3, 12 SP4 · операционная система
SUSE Enterprise Storage (Novell) — 4 · прикладное ПО информационных систем
SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP2, 12 SP2-BCL, 12 SP2-ESPOS, 12 SP2-LTSS, 12 SP3, 11 SP3-LTSS, 11 SP4, 12 SP1, 12 SP1-LTSS, 12-LTSS · операционная система
SUSE Linux Enterprise Software Development Kit (Novell) — версии 12 SP3, 12 SP4, 11 SP4 · прикладное ПО информационных систем
SUSE OpenStack Cloud (Novell) — версии 7, 6 · прикладное ПО информационных систем
Suse Linux Enterprise Server (Novell) — версии 12 SP3, 12 SP4, 11 SP4, 12 SP2-BCL, 12 SP2-ESPOS, 12-LTSS, 12 SP1-LTSS, 12 SP2-LTSS, 11 SP3-LTSS · операционная система
Альт 8 СП Сервер (АО «ИВК») — операционная система
Альт 8 СП Рабочая станция (АО «ИВК») — операционная система
SUSE Linux Enterprise Module for Desktop Applications (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
SUSE Linux Enterprise Point of Sale (Novell) — версии 12 SP2-CLIENT, 11 SP3 · прикладное ПО информационных систем
SUSE Linux Enterprise Workstation Extension (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
Firefox (Mozilla) — до 60 · прикладное ПО информационных систем
Thunderbird (Mozilla) — до 52.8 · прикладное ПО информационных систем
SUSE Package Hub for SUSE Linux Enterprise (Novell) — 12 · прикладное ПО информационных систем
Thunderbird ESR (Mozilla) — до 52.8 · прикладное ПО информационных систем
РОСА Кобальт (АО «НТЦ ИТ РОСА») — операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для программных продуктов Mozilla Corp.: bugzilla.mozilla.org/show_bug.cgi
Для Ubuntu: usn.ubuntu.com/3660-1/; usn.ubuntu.com/3645-1/
Для программных продуктов Novell Inc.: www.suse.com/pt-br/security/cve/CVE-2018-5155/
Для Debian GNU/Linux: lists.debian.org/debian-lts-announce/2018/05/msg00007.html; lists.debian.org/debian-lts-announce/2018/05/msg00013.html
Для Альт Линукс СПТ: cve.basealt.ru/otchet-po-obnovleniiam-ot-24042019.html
Для Альт 8 СП Сервер и Альт 8 СП Рабочая станция: altsp.su/obnovleniya-bezopasnosti/
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2018-5155
Для ОС РОСА КОБАЛЬТ: wiki.rosalab.ru/ru/index.php/ROSA-SA-18-05-29.006; wiki.rosalab.ru/ru/index.php/ROSA-SA-18-05-29.005

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: