БДУ - Уязвимости

BDU:2021-03660: Уязвимость почтового клиента Mozilla Thunderbird, связанная с записью за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код

Описание уязвимости	Уязвимость почтового клиента Mozilla Thunderbird, связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем создания специальной веб-страницы
Вендор	Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», ООО «Ред Софт», Mozilla Corp., Google Inc., АО "НППКТ", АО «Концерн ВНИИНС»
Наименование ПО	Debian GNU/Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), РЕД ОС (запись в едином реестре российских программ №3751), Thunderbird, Google Chrome, Firefox, Firefox ESR, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913), ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО	9 (Debian GNU/Linux) 1.6 «Смоленск» (Astra Linux Special Edition) 10 (Debian GNU/Linux) 7.2 Муром (РЕД ОС) от 60.0 до 78.11 (Thunderbird) 11 (Debian GNU/Linux) до 91.0.4472.101 (Google Chrome) до 90.0 (Firefox) до 78.12 (Firefox ESR) 1.7 (Astra Linux Special Edition) 4.7 (Astra Linux Special Edition) до 2.1 (ОСОН ОСнова Оnyx) до 2.3 (ОСОН ОСнова Оnyx) до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	Сообщество свободного программного обеспечения Debian GNU/Linux 9 ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Сообщество свободного программного обеспечения Debian GNU/Linux 10 ООО «Ред Софт» РЕД ОС 7.2 Муром (запись в едином реестре российских программ №3751) Сообщество свободного программного обеспечения Debian GNU/Linux 11 ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369) ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 (запись в едином реестре российских программ №369) АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023 (запись в едином реестре российских программ №6177)
Тип ошибки	Запись за границами буфера
Идентификатор типа ошибки	CWE-787
Класс уязвимости	Уязвимость кода
Дата выявления	13.07.2021
Базовый вектор уязвимости	CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C CVSS 3.0: AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H
Уровень опасности уязвимости	Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для РедОС: http://repo.red-soft.ru/redos/7.2c/x86_64/updates/ Для Google Chrome: использование рекомендаций производителя: https://chromereleases.googleblog.com/2021/06/stable-channel-update-for-desktop.html Для Firefox: использование рекомендаций производителя: https://www.mozilla.org/en-US/security/advisories/mfsa2021-28/#CVE-2021-30547 Для Firefox ESR: использование рекомендаций производителя: https://www.mozilla.org/en-US/security/advisories/mfsa2021-29/#CVE-2021-30547 Для Thunderbird: использование рекомендаций производителя: https://www.mozilla.org/en-US/security/advisories/mfsa2021-30/#CVE-2021-30547 Для ОС Debian: использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-30547 Для ОС Astra Linux: использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16 использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47 Для ОСОН Основа: Обновление программного обеспечения thunderbird до версии 1:78.13.0+repack-1~deb10u1.osnova1 Для ОСОН Основа: Обновление программного обеспечения firefox-esr до версии 78.13.0esr+repack-1~deb10u1.osnova2 Для ОСОН Основа: Обновление программного обеспечения chromium до версии 94.0.4606.81+repack-1osnova1.1 Для ОС ОН «Стрелец»: Обновление программного обеспечения thunderbird до версии 1:91.13.0+repack-1~deb10u1.osnova1.strelets Обновление программного обеспечения chromium до версии 105.0.5195.125+repack2-1~deb11u1.osnova1.strelets
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Данные уточняются
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://redos.red-soft.ru/updatesec/ https://www.cybersecurity-help.cz/vdb/SB2021071380 https://www.securitylab.ru/vulnerability/522218.php https://nvd.nist.gov/vuln/detail/CVE-2021-30547 https://security-tracker.debian.org/tracker/CVE-2021-30547 https://chromereleases.googleblog.com/2021/06/stable-channel-update-for-desktop.html https://bugs.chromium.org/p/chromium/issues/detail?id=1210414 https://www.mozilla.org/en-US/security/advisories/mfsa2021-28/#CVE-2021-30547 https://www.mozilla.org/en-US/security/advisories/mfsa2021-29/#CVE-2021-30547 https://www.mozilla.org/en-US/security/advisories/mfsa2021-30/#CVE-2021-30547 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/ https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.3/ https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2021-30547
Прочая информация	Данные уточняются

Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2021-03660: Уязвимость почтового клиента Mozilla Thunderbird, связанная с записью за границами буфера в памяти, позволяющая нарушителю выполнить произвольный код