11.09.2023

Уязвимость BDU:2023-05510

Идентификатор: BDU:2023-05510.

Наименование уязвимости: Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP, связанная с чтением за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код.

Описание уязвимости: Уязвимость библиотеки libwebp для кодирования и декодирования изображений в формате WebP связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код
Уязвимое ПО: Операционная система Red Hat Inc. Red Hat Enterprise Linux 7 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Debian GNU/Linux 10 | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Debian GNU/Linux 11 | Операционная система Debian GNU/Linux 12 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система АО «ИВК» Альт 8 СП — | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Операционная система Fedora Project Fedora 37 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.2 Telecommunications Update Service | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.2 Update Services for SAP Solutions | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.6 Extended Update Support | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9.0 Extended Update Support | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.2 Advanced Update Support | Операционная система Fedora Project Fedora 38 | Операционная система Fedora Project Fedora 39 | Операционная система Canonical Ltd. Ubuntu 23.04 | Операционная система АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.4 Telecommunications Update Service | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.4 Update Services for SAP Solutions | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support | Прикладное ПО информационных систем Google Inc. Google Chrome до 116.0.5845.187 | Прикладное ПО информационных систем Mozilla Corp. Firefox до 117.0.1 | Прикладное ПО информационных систем Mozilla Corp. Firefox ESR до 102.15.1 | Прикладное ПО информационных систем Mozilla Corp. Firefox ESR до 115.2.1 | Прикладное ПО информационных систем Mozilla Corp. Thunderbird до 102.15.1 | Прикладное ПО информационных систем Mozilla Corp. Thunderbird до 115.2.2 | Прикладное ПО информационных систем Microsoft Corp. Microsoft Edge до 117.0.2045.31 | Прикладное ПО информационных систем Google Inc. libwebp до 1.3.2 | Прикладное ПО информационных систем Bandisoft International Inc. Honeyview до 5.51 | Операционная система АО «ИВК» АЛЬТ СП 10 — | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.9 | Прикладное ПО информационных систем Camunda Services GmbH Camunda Modeler 5.15.1 |

Возможные меры по устранению:
Компенсирующие меры:
— отключение/удаление неиспользуемых учетных записей пользователей;
— минимизация пользовательских привилегий;
— использование антивирусных средств защиты;
— контроль действий пользователей.

Использование рекомендаций:
Для libwebp:
https://github.com/webmproject/libwebp/releases/tag/v1.3.2
https://github.com/webmproject/libwebp/commit/902bc9190331343b2017211debcec8d2ab87e17a

Для Google Chrome:
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html

Для программных продуктов Mozilla Corp.:
https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/#CVE-2023-4863

Для программных продуктов Microsoft Corp.:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-4863

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-4863

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-4863

Для Ubuntu:
https://ubuntu.com/security/CVE-2023-4863
https://ubuntu.com/security/notices/USN-6367-1
https://ubuntu.com/security/notices/USN-6368-1
https://ubuntu.com/security/notices/USN-6369-1

Для Honeyview:
https://en.bandisoft.com/honeyview/history/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OZDGWWMJREPAGKWCJKSCM4WYLANSKIFX/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FYYKLG6CRGEDTNRBSU26EEWAO6D6U645/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PYZV7TMKF4QHZ54SFJX54BDN52VHGGCX/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6T655QF7CQ3DYAMPFV7IECQYGDEUIVVT/

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux Special Edition 1.7:
— обновить пакет firefox до 118.0.1+build1-0ubuntu0.20.04.1~mt1+ci202309291803+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
— обновить пакет libwebp до 0.6.1-2.1+deb11u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
— обновить пакет thunderbird до 1:115.3.1+build1-0ubuntu1+ci202310041156+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
— обновить пакет chromium до 1:117.0.5938.132-0astragost0+ci202309291808+astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для Astra Linux 1.6 «Смоленск»:
— обновить пакет libwebp до 0.5.2-1+deb9u3+ci202309301552 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
— обновить пакет thunderbird до 1:115.5.0+build1-0ubuntu1+ci202311280951+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
— обновить пакет firefox до 120.0+build2-0ubuntu0.20.04.1+ci202311281348+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
— обновить пакет chromium до 1:119.0.6045.199-0astragost0+ci202311302128+astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения thunderbird до версии 1:115.5.0+repack-1~deb10u1.osnova1
Обновление программного обеспечения libwebp до версии 0.6.1+repack-2+deb10u3.osnova1
Обновление программного обеспечения firefox-esr до версии 115.5.0esr+repack-1~deb10u1.osnova1

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для операционной системы РОСА ХРОМ:https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2371

Для Astra Linux Special Edition 4.7:
— обновить пакет firefox до 118.0.1+build1-0ubuntu0.20.04.1~mt1+ci202309291803+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
— обновить пакет libwebp до 0.6.1-2.1+deb11u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
— обновить пакет thunderbird до 1:115.3.1+build1-0ubuntu1+ci202310041156+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
— обновить пакет chromium до 1:120.0.6099.129-0astragost0+ci202312211626+astra7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2023-4863.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_11.html
https://www.darkreading.com/dr-global/qatar-cyber-chiefs-warn-mozilla-rce-bugs
https://www.mozilla.org/en-US/security/advisories/mfsa2023-40/#CVE-2023-4863
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2023-4863
https://security-tracker.debian.org/tracker/CVE-2023-4863
https://access.redhat.com/security/cve/CVE-2023-4863
https://ubuntu.com/security/CVE-2023-4863
https://ubuntu.com/security/notices/USN-6367-1
https://ubuntu.com/security/notices/USN-6368-1
https://ubuntu.com/security/notices/USN-6369-1
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OZDGWWMJREPAGKWCJKSCM4WYLANSKIFX/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FYYKLG6CRGEDTNRBSU26EEWAO6D6U645/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PYZV7TMKF4QHZ54SFJX54BDN52VHGGCX/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6T655QF7CQ3DYAMPFV7IECQYGDEUIVVT/
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://altsp.su/obnovleniya-bezopasnosti/
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.9/
https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2371
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
https://blog.isosceles.com/the-webp-0day/
https://altsp.su/obnovleniya-bezopasnosti/

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: