БДУ - Уязвимости

BDU:2021-01414: Уязвимость декодера ZRLEDecoder программного обеспечения VNC TigerVNC, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Описание уязвимости	Уязвимость декодера ZRLEDecoder программного обеспечения VNC TigerVNC связана с операциями с ресурсом после истечения его срока действия. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании
Вендор	ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Novell Inc., TigerVNC developers
Наименование ПО	Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, Astra Linux Common Edition (запись в едином реестре российских программ №4433), OpenSUSE Leap, TigerVNC
Версия ПО	1.6 «Смоленск» (Astra Linux Special Edition) 8.0 (Debian GNU/Linux) 9.0 (Debian GNU/Linux) 2.12 «Орёл» (Astra Linux Common Edition) 15.1 (OpenSUSE Leap) 10.0 (Debian GNU/Linux) до 1.10.1 (TigerVNC)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл» (запись в едином реестре российских программ №4433) Novell Inc. OpenSUSE Leap 15.1 Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
Тип ошибки	Операция с ресурсом после истечения срока его действия или освобождения
Идентификатор типа ошибки	CWE-672
Класс уязвимости	Уязвимость кода
Дата выявления	26.12.2019
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:S/C:P/I:P/A:P CVSS 3.0: AV:N/AC:L/PR:H/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,5) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,2)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для TigerVNC: Обновление программного обеспечения до 1.10.1 или более поздней версии Для Debian: Обновление программного обеспечения (пакета tigervnc) до 1.9.0+dfsg-3+deb10u1 или более поздней версии Для Astra Linux: Обновление программного обеспечения (пакета tigervnc) до 1.9.0+dfsg-3+deb10u1 или более поздней версии использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16 Для программных продуктов Novell Inc.: https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00039.html
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Манипулирование ресурсами
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://github.com/CendioOssman/tigervnc/commit/d61a767d6842b530ffb532ddd5a3d233119aad40 https://github.com/TigerVNC/tigervnc/releases/tag/v1.10.1 https://lists.opensuse.org/opensuse-security-announce/2020-01/msg00039.html https://nvd.nist.gov/vuln/detail/CVE-2019-15691 https://security-tracker.debian.org/tracker/CVE-2019-15691 https://www.openwall.com/lists/oss-security/2019/12/20/2 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2019-15691
Прочая информация	Данные уточняются

Последние изменения

27.01.2023 Уязвимость компонента InnoDB системы управления базами данных MySQL Server, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Server: Optimizer системы управления базами данных MySQL Server, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных или вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Security программного средства для создания отчетов Oracle BI Publisher программной платформы Oracle Fusion Middleware, позволяющая нарушителю выполнить произвольный код
27.01.2023 Уязвимость компонента Security программного средства для создания отчетов Oracle BI Publisher программной платформы Oracle Fusion Middleware, позволяющая нарушителю выполнить произвольный код
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox, позволяющая нарушителю вызвать отказ в обслуживании
27.01.2023 Уязвимость компонента Visual Analyzer программной платформы Oracle Business Intelligence Enterprise Edition, позволяющая нарушителю получить несанкционированный доступ на чтение, изменение или удаление данных
27.01.2023 Уязвимость компонента Core программного средства виртуализации Oracle VM VirtualBox операционных систем Windows, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
27.01.2023 Уязвимость компонента Core сервера приложений Oracle Communications Converged Application Server, позволяющая нарушителю получить полный контроль над приложением
27.01.2023 Уязвимость подкомпонента Auomated Test Suite компонента Oracle HCM Common Architecture системы автоматизации деятельности предприятия Oracle E-Business Suite, позволяющая нарушителю манипулировать данными

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»