10.03.2022

BDU:2022-05792 (CVE-2022-0891) — уязвимость функции ExtractImageSection компонента tiffcrop.c библиотеки LibTIFF

По данным БДУ ФСТЭК России, по состоянию на 05.09.2025.

Высокий — 7.1/10 Публичный эксплойт Устранена

Уязвимость функции ExtractImageSection компонента tiffcrop.c библиотеки LibTIFF связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании с помощью специально созданного TIFF изображения

Кого касается и что делать

Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Альт 8 СП (АО «ИВК»); и ещё 4 позиции
Что делать: уязвимость устранена производителем — применить исправления: gitlab.com, security-tracker.debian.org, wiki.astralinux.ru
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-05792 · CVE-2022-0891
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.1; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:N/A:H атака по сети, низкая сложность, без прав, требуется участие пользователя, ограниченное влияние на конфиденциальность, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость функции ExtractImageSection компонента tiffcrop.c библиотеки LibTIFF, позволяющая нарушителю получить доступ к конфиденциальным данным, а также вызвать отказ в обслуживании
Даты	Опубликована: 19.09.2022 · Обновлена ФСТЭК: 05.09.2025 · Выявлена: 10.03.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-787 — запись за границами буфера
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование структурами данных

Уязвимое ПО

Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
Альт 8 СП (АО «ИВК») — операционная система
LibTIFF (Silicon Graphics) — от 3.9.0 до 4.3.0 включительно · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5 · операционная система
ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
ОС Аврора (ООО «Открытая мобильная платформа») — до 5.1.4 включительно · операционная система

Возможные меры по устранению уязвимости

Обновление.

Для LibTIFF: использование рекомендаций производителя: gitlab.com/freedesktop-sdk/mirrors/gitlab/libtiff/libtiff…
Для Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2022-0891
Для ОС Astra Linux: использование рекомендаций производителя; wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47; wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
Для ОСОН Основа: Обновление программного обеспечения tiff до версии 4.1.0+git191117-2~deb10u4
Для Astra Linux 1.6 «Смоленск»: обновить пакет tiff до 4.0.8-2+deb9u11 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosalinux.ru/advisories/ROSA-SA-2024-2338
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: altsp.su/obnovleniya-bezopasnosti/
Для ОС Аврора: cve.omp.ru/bb27514

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: