28.07.2025

BDU:2025-16160 (CVE-2021-29390) — уязвимость decompress_smooth_data() библиотеки для работы с изображениями libjpeg-turbo

По данным БДУ ФСТЭК России, по состоянию на 22.12.2025.

Высокий — 7.1/10 Устранена

Уязвимость decompress_smooth_data() библиотеки для работы с изображениями libjpeg-turbo связана с записью за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: Fedora (Fedora Project) — версии 37, 38, 39; МСВСфера (ООО «НЦПР») — версии 9.5; libjpeg-turbo (Independent JPEG Group) — версии до 2.0.90-7
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, errata.msvsphere-os.ru

Сведения об уязвимости

Идентификаторы	BDU:2025-16160 · CVE-2021-29390
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.1; CVSS 2.0 — 8.5)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H атака по сети, низкая сложность, без прав, требуется участие пользователя, ограниченное влияние на конфиденциальность, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость decompress_smooth_data() библиотеки для работы с изображениями libjpeg-turbo, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 22.12.2025 · Обновлена ФСТЭК: 22.12.2025 · Выявлена: 28.07.2025
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-787 — запись за границами буфера
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Fedora (Fedora Project) — версии 37, 38, 39 · операционная система
МСВСфера (ООО «НЦПР») — 9.5 · операционная система
libjpeg-turbo (Independent JPEG Group) — до 2.0.90-7 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для libjpeg-turbo: github.com/libjpeg-turbo/libjpeg-turbo/commits/main/jdcoe…; github.com/libjpeg-turbo/libjpeg-turbo/blob/4e52b66f342a8…
Для МСВСфера: errata.msvsphere-os.ru/definition/9/INFCSA-2024:2295
Для Fedora: lists.fedoraproject.org/archives/list/package-announce%40…; lists.fedoraproject.org/archives/list/package-announce%40…; lists.fedoraproject.org/archives/list/package-announce%40…

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: