BDU:2021-03768 (CVE-2017-12596) — уязвимость функции hufDecode библиотеки OpenEXR
По данным БДУ ФСТЭК России, по состоянию на 21.11.2023.
Высокий — 8.8/10 Публичный эксплойт Устранена
Уязвимость функции hufDecode библиотеки OpenEXR связана с чтением за допустимыми границами буфера данных во время выполнения exrmaketiled;. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации или вызвать отказ в обслуживании
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск»; Astra Linux Common Edition (ООО «РусБИТех-Астра») — версии 2.12 «Орёл»; и ещё 3 позиции
- Что делать: уязвимость устранена производителем — применить исправления: github.com, security-tracker.debian.org, wiki.astralinux.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2021-03768 · CVE-2017-12596 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.8; CVSS 2.0 — 6.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость функции hufDecode библиотеки OpenEXR, связанная с чтением за допустимыми границами буфера данных, позволяющая нарушителю получить доступ к конфиденциальной информации или вызвать отказ в обслуживании |
| Даты | Опубликована: 22.07.2021 · Обновлена ФСТЭК: 21.11.2023 · Выявлена: 30.09.2017 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-125 — чтение за границами буфера |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10 · операционная система
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — 1.6 «Смоленск» · операционная система
- Astra Linux Common Edition (ООО «РусБИТех-Астра») — 2.12 «Орёл» · операционная система
- Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — 8.1 «Ленинград» · операционная система
- OpenEXR (Industrial Light & Magic) — до 2.2.0 · прикладное ПО информационных систем
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Openexr: github.com/AcademySoftwareFoundation/openexr/issues/238
- Для Debian: security-tracker.debian.org/tracker/CVE-2017-12596
- Для Astra Linux: wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16; wiki.astralinux.ru/pages/viewpage.action; wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
- Для ОС ОН «Стрелец»: Обновление программного обеспечения openexr до версии 2.2.0-11+deb9u4
Источники
- github.com/openexr/openexr/issues/238
- github.com/xiaoqx/pocs/blob/master/openexr.md
- nvd.nist.gov/vuln/detail/CVE-2017-12596
- security-tracker.debian.org/tracker/CVE-2017-12596
- wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16
- wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
- wiki.astralinux.ru/pages/viewpage.action
- wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
- strelets.net/patchi-i-obnovleniya-bezopasnosti
