BDU:2021-05225: Уязвимость компонента Convert.c библиотеки для работы с изображениями Pillow, связанная с переполнением буфера в памяти, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Описание уязвимости Уязвимость компонента Convert.c библиотеки для работы с изображениями Pillow связана с возможностью передачи параметров непосредственно в функцию. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании
Вендор ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Uploadcare, LLC
Наименование ПО Astra Linux (запись в едином реестре российских программ №369), Debian GNU/Linux , Pillow
Версия ПО
  • 1.6 «Смоленск» (Astra Linux)
  • 8.0 (Debian GNU/Linux)
  • 9.0 (Debian GNU/Linux)
  • 10.0 (Debian GNU/Linux)
  • от 1.0 до 1.1.7 включительно (Pillow)
  • от 1.2 до 8.2.0 включительно (Pillow)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • ООО «РусБИТех-Астра» Astra Linux 1.6 «Смоленск» (запись в едином реестре российских программ №369)
  • Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0
Тип ошибки Копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 13.07.2021
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Для Pillow:
использование рекомендаций производителя: https://pillow.readthedocs.io/en/stable/releasenotes/8.3.0.html#buffer-overflow

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-34552

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения