БДУ - Уязвимости

BDU:2021-01407: Уязвимость функции QPDF::resolveObjectsInStream утилиты командной строки для преобразования PDF документов QPDF, связанная с бесконечной работой цикла, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости	Уязвимость функции QPDF::resolveObjectsInStream утилиты командной строки для преобразования PDF документов QPDF связана с бесконечной работой цикла. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор	Canonical Ltd., Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Jay Berkenbilt
Наименование ПО	Ubuntu, Debian GNU/Linux, Astra Linux Common Edition (запись в едином реестре российских программ №4433), QPDF
Версия ПО	16.04 LTS (Ubuntu) 17.10 (Ubuntu) 8.0 (Debian GNU/Linux) 9.0 (Debian GNU/Linux) 2.12 «Орёл» (Astra Linux Common Edition) 10.0 (Debian GNU/Linux) 14.04 ESM (Ubuntu) до 6.0.0 включительно (QPDF)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Canonical Ltd. Ubuntu 16.04 LTS 32-bit Canonical Ltd. Ubuntu 17.10 Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл» (запись в едином реестре российских программ №4433) Сообщество свободного программного обеспечения Debian GNU/Linux 10.0 Canonical Ltd. Ubuntu 14.04 ESM
Тип ошибки	Выполнение цикла с недоступным условием выхода (бесконечный цикл)
Идентификатор типа ошибки	CWE-835
Класс уязвимости	Уязвимость кода
Дата выявления	25.07.2017
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:M/Au:N/C:N/I:N/A:P CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:U/C:N/I:N/A:H
Уровень опасности уязвимости	Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для QPDF: Обновление программного обеспечения до 8.4.0-2 или более поздней версии Для Debian: Обновление программного обеспечения (пакета qpdf) до 10.0.3-1 или более поздней версии Для Astra Linux: Обновление программного обеспечения (пакета qpdf) до 10.0.3-1 или более поздней версии Для Ubuntu: https://ubuntu.com/security/notices/USN-3638-1
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Исчерпание ресурсов
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	http://somevulnsofadlab.blogspot.jp/2017/07/qpdfan-infinite-loop-in-libqpdf_26.html https://github.com/qpdf/qpdf/issues/120 https://nvd.nist.gov/vuln/detail/CVE-2017-11625 https://security-tracker.debian.org/tracker/CVE-2017-11625 https://ubuntu.com/security/notices/USN-3638-1
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2017-11625
Прочая информация	Данные уточняются

Последние изменения

27.01.2023 Уязвимость компонента InnoDB системы управления базами данных MySQL Server, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Server: Optimizer системы управления базами данных MySQL Server, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Security программного средства для создания отчетов Oracle BI Publisher программной платформы Oracle Fusion Middleware, позволяющая нарушителю выполнить произвольный код
27.01.2023 Уязвимость компонента Security программного средства для создания отчетов Oracle BI Publisher программной платформы Oracle Fusion Middleware, позволяющая нарушителю выполнить произвольный код
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox, позволяющая нарушителю вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Visual Analyzer программной платформы Oracle Business Intelligence Enterprise Edition, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox операционных систем Windows, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
27.01.2023 Уязвимость компонента Core сервера приложений Oracle Communications Converged Application Server, позволяющая нарушителю получить полный контроль над приложением
27.01.2023 Уязвимость подкомпонента Auomated Test Suite компонента Oracle HCM Common Architecture системы автоматизации деятельности предприятия Oracle E-Business Suite, позволяющая нарушителю манипулировать данными

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»