Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2020-01649: Уязвимость механизма сериализации веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird, связанная с отсутствием проверки размера вводимых данных при использовании буфера, позволяющая нарушителю получить несанкционированный доступ к конфиденциальным данным, вызвать отказ в обслуживании и оказать воздействие на целостность данных

Описание уязвимости	Уязвимость механизма сериализации веб-браузеров Firefox, Firefox ESR и почтового клиента Thunderbird связана с отсутствием проверки размера вводимых данных при использовании буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к конфиденциальным данным, вызвать отказ в обслуживании и оказать воздействие на целостность данных
Вендор	Red Hat Inc., Canonical Ltd., Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Novell Inc., Mozilla Corp., АО «Концерн ВНИИНС»
Наименование ПО	Red Hat Enterprise Linux, Ubuntu, Debian GNU/Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), OpenSUSE Leap, Firefox, Firefox ESR, Thunderbird, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО	6 (Red Hat Enterprise Linux) 7 (Red Hat Enterprise Linux) 16.04 LTS (Ubuntu) 9 (Debian GNU/Linux) 18.04 LTS (Ubuntu) 1.6 «Смоленск» (Astra Linux Special Edition) 8.0 (Debian GNU/Linux) 19.04 (Ubuntu) 8 (Red Hat Enterprise Linux) 15.1 (OpenSUSE Leap) 19.10 (Ubuntu) до 71.0 (Firefox) до 68.3 (Firefox ESR) до 68.3 (Thunderbird) 8.0 Update Services for SAP Solutions (Red Hat Enterprise Linux) 1.0 (ОС ОН «Стрелец»)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Red Hat Inc. Red Hat Enterprise Linux 6 Red Hat Inc. Red Hat Enterprise Linux 7 Canonical Ltd. Ubuntu 16.04 LTS Сообщество свободного программного обеспечения Debian GNU/Linux 9 Canonical Ltd. Ubuntu 18.04 LTS ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Canonical Ltd. Ubuntu 19.04 Red Hat Inc. Red Hat Enterprise Linux 8 Novell Inc. OpenSUSE Leap 15.1 Canonical Ltd. Ubuntu 19.10 Red Hat Inc. Red Hat Enterprise Linux 8.0 Update Services for SAP Solutions АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 (запись в едином реестре российских программ №6177)
Тип ошибки	Копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Идентификатор типа ошибки	CWE-120
Класс уязвимости	Уязвимость кода
Дата выявления	03.12.2019
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:M/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для firefox: Обновление программного обеспечения до 73.0.1-1 или более поздней версии Для firefox-esr: Обновление программного обеспечения до 68.5.0esr-1 или более поздней версии Для thunderbird: Обновление программного обеспечения до 1:68.5.0-1 или более поздней версии Для Debian: Обновление программного обеспечения (пакета firefox) до 73.0.1-1 или более поздней версии, (пакета firefox-esr) до 68.5.0esr-1~deb8u1 или более поздней версии, (пакета thunderbird) до 1:68.3.0-2~deb9u1 или более поздней версии Для Astra Linux: Обновление программного обеспечения (пакета firefox) до 73.0.1-1 или более поздней версии, , (пакета firefox-esr) до 68.5.0esr-1~deb8u1 или более поздней версии, (пакета thunderbird) до 1:68.3.0-2~deb9u1 или более поздней версии Для программных продуктов Novell Inc.: https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00000.html https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00001.html Для Ubuntu: https://usn.ubuntu.com/4216-1/ https://usn.ubuntu.com/4216-2/ https://usn.ubuntu.com/4241-1/ Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2019-17005 Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://nvd.nist.gov/vuln/detail/CVE-2019-17005 https://security-tracker.debian.org/tracker/CVE-2019-17005 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16 https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00000.html https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00001.html https://usn.ubuntu.com/4216-1/ https://usn.ubuntu.com/4216-2/ https://usn.ubuntu.com/4241-1/ https://access.redhat.com/security/cve/cve-2019-17005 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2019-17005
Прочая информация	Данные уточняются

Последние изменения