BDU:2020-01379 (CVE-2019-8687) — уязвимость модуля отображения WebKit
По данным БДУ ФСТЭК России, по состоянию на 01.06.2020.
Высокий — 8.8/10 Устранена
Уязвимость модуля отображения WebKit связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код при помощи специально сформированной веб-страницы
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Suse Linux Enterprise Desktop (Novell) — версии 12 SP4; SUSE Enterprise Storage (Novell) — версии 4, 5; и ещё 20 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.debian.org, www.suse.com, support.apple.com
Сведения об уязвимости
| Идентификаторы | BDU:2020-01379 · CVE-2019-8687 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 9.3) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость модуля отображения WebKit, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 10.04.2020 · Обновлена ФСТЭК: 01.06.2020 · Выявлена: 04.09.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-119 — выход операции за границы буфера в памяти |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
- Suse Linux Enterprise Desktop (Novell) — 12 SP4 · операционная система
- SUSE Enterprise Storage (Novell) — версии 4, 5 · прикладное ПО информационных систем
- SUSE Linux Enterprise Server for SAP Applications (Novell) — версии 12 SP2, 12 SP2-BCL, 12 SP2-ESPOS, 12 SP2-LTSS, 12 SP3, 12 SP4, 12 SP3-BCL, 12 SP3-LTSS, 12 SP5, 12 SP3-ESPOS · операционная система
- SUSE Linux Enterprise Software Development Kit (Novell) — версии 12 SP4, 12 SP5 · прикладное ПО информационных систем
- SUSE Linux Enterprise Workstation Extension (Novell) — 12 SP4 · прикладное ПО информационных систем
- SUSE OpenStack Cloud (Novell) — версии 7, 8 · прикладное ПО информационных систем
- SUSE Linux Enterprise Module for Open Buildservice Development Tools (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
- Suse Linux Enterprise Server (Novell) — версии 12 SP4, 12 SP2-BCL, 12 SP2-ESPOS, 12 SP2-LTSS, 12 SP3-LTSS, 12 SP3-BCL, 12 SP3-ESPOS · операционная система
- SUSE Linux Enterprise Module for Basesystem (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
- OpenSUSE Leap (Novell) — версии 15.0, 15.1 · операционная система
- SUSE Linux Enterprise Module for Desktop Applications (Novell) — версии 15, 15 SP1 · прикладное ПО информационных систем
- SUSE Linux Enterprise Point of Sale (Novell) — 12 SP2-CLIENT · прикладное ПО информационных систем
- SUSE OpenStack Cloud Crowbar (Novell) — 8 · прикладное ПО информационных систем
- HPE Helion Openstack (Novell) — 8 · прикладное ПО информационных систем
- SUSE Linux Enterprise High Performance Computing (Novell) — 12 SP5 · прикладное ПО информационных систем
- iOS (Apple) — до 12.4 · операционная система
- tvOS (Apple) — до 12.4 · операционная система
- iTunes (Apple) — до 12.9.6 · прикладное ПО информационных систем, сетевое программное средство · платформа: Windows
- iCloud (Apple) — версии до 7.13, от 10.0 до 10.6 · сетевое программное средство · платформа: Windows
- Safari (Apple) — до 12.1.2 · прикладное ПО информационных систем
- macOS (Apple) — 10.14.6 · операционная система
- WebKitGTK (The WebKitGTK Team) — до 2.26.1-3 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций производителя
- Для webkit2gtk: Обновление программного обеспечения до 2.26.1-3~deb10u1 или более поздней версии
- Для Debian GNU/Linux: www.debian.org/security/2019/dsa-4515
- Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2019-8687/
- Для программных продуктов Apple Inc.: support.apple.com/HT210346; support.apple.com/HT210348; support.apple.com/HT210351; support.apple.com/HT210355; support.apple.com/HT210356; support.apple.com/HT210357; support.apple.com/HT210358
