BDU:2021-01016: Уязвимость функции IntensityCompare() консольного графического редактора ImageMagick, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости

Уязвимость функции IntensityCompare() (/magick/quantize.c) консольного графического редактора ImageMagick связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально созданного файла

Вендор

Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Novell Inc., ImageMagick Studio LLC, АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), SUSE Linux Enterprise Server for SAP Applications, Astra Linux Common Edition (запись в едином реестре российских программ №4433), OpenSUSE Leap, Suse Linux Enterprise Server, Astra Linux Special Edition для «Эльбрус» (запись в едином реестре российских программ №11156), ImageMagick, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)

Версия ПО

  • 9 (Debian GNU/Linux)
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 12 SP3 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
  • 8.0 (Debian GNU/Linux)
  • 2.12 «Орёл» (Astra Linux Common Edition)
  • 15.1 (OpenSUSE Leap)
  • 15 (SUSE Linux Enterprise Server for SAP Applications)
  • 15 SP1 (SUSE Linux Enterprise Server for SAP Applications)
  • 12 SP5 (Suse Linux Enterprise Server)
  • 10 (Debian GNU/Linux)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • 15-LTSS (Suse Linux Enterprise Server)
  • 15.2 (OpenSUSE Leap)
  • 15 SP1-BCL (Suse Linux Enterprise Server)
  • 15 SP1-LTSS (Suse Linux Enterprise Server)
  • от 6.9.10 до 69 (ImageMagick)
  • от 7.0.8 до 69 (ImageMagick)
  • до 6.9.10-69 (ImageMagick)
  • от 7.0.8 до 7.0.9-0 (ImageMagick)
  • 1.0 (ОС ОН «Стрелец»)
  • 1.7 (Astra Linux Special Edition)
  • 4.7 (Astra Linux Special Edition)
  • до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система, Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Тип ошибки

Целочисленное переполнение или циклический сдвиг

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

14.10.2019

Базовый вектор уязвимости

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2020-27754/

Для ImageMagick:
использование рекомендаций производителя: https://github.com/ImageMagick/ImageMagick/issues/1754

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-27754

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie

Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0426SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0727SE47

Для ОС ОН «Стрелец»:
Обновление программного обеспечения imagemagick до версии 8:6.9.7.4+dfsg-11+deb9u14

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Способ эксплуатации

  • Манипулирование ресурсами

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

Прочая информация

Данные уточняются
Последние изменения