BDU:2022-01641: Уязвимость библиотеки zlib, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю вызвать отказ в обслуживании

Описание уязвимости Уязвимость библиотеки zlib связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью отправки специально сформированных данных приложению
Вендор Red Hat Inc., Canonical Ltd., ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Fedora Project, ООО «Ред Софт», Жан-Лу Гайи, Марк Адлер, ООО «Открытая мобильная платформа», АО "НППКТ"
Наименование ПО Red Hat Enterprise Linux, Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, Red Hat Virtualization, JBoss Core Services, Fedora, РЕД ОС (запись в едином реестре российских программ №3751), zlib, ОС Аврора (запись в едином реестре российских программ №1543), ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 6 (Red Hat Enterprise Linux)
  • 7 (Red Hat Enterprise Linux)
  • 18.04 LTS (Ubuntu)
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 9.0 (Debian GNU/Linux)
  • 4 (Red Hat Virtualization)
  • 8 (Red Hat Enterprise Linux)
  • 10.0 (Debian GNU/Linux)
  • 14.04 ESM (Ubuntu)
  • - (JBoss Core Services)
  • 20.04 LTS (Ubuntu)
  • 16.04 ESM (Ubuntu)
  • 11.0 (Debian GNU/Linux)
  • 35 (Fedora)
  • 21.10 (Ubuntu)
  • 7.3 (РЕД ОС)
  • до 1.2.12 (zlib)
  • до 4.0.2.172 (ОС Аврора)
  • 4.7 (Astra Linux Special Edition)
  • до 2.5 (ОСОН ОСнова Оnyx)
  • до 2.6 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, ПО виртуализации/ПО виртуального программно-аппаратного средства, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Выход операции за границы буфера в памяти, Запись за границами буфера
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 23.03.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,2)
Возможные меры по устранению уязвимости
Использование рекомендаций:

Для zlib:
https://github.com/madler/zlib/commit/5c44459c3b28a9bd3283aaceab7c615f8020c531
https://github.com/madler/zlib/compare/v1.2.11...v1.2.12

Для РедОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-zlib-cve-2018-25032/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2018-25032

Для Ubuntu:
https://ubuntu.com/security/CVE-2018-25032
https://ubuntu.com/security/notices/USN-5355-1
https://ubuntu.com/security/notices/USN-5355-2

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NS2D2GFPFGOJUL4WQ3DUAY7HF4VWQ77F/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2018-25032

Для ОС Аврора 3.2.1: https://cve.omprussia.ru/bb13321
Для ОС Аврора 3.2.2: https://cve.omprussia.ru/bb14322
Для ОС Аврора 3.2.3: https://cve.omprussia.ru/bb15323
Для ОС Аврора 4.0.2: https://cve.omprussia.ru/bb16402

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения zlib до версии 1:1.2.11.dfsg-1+deb10u1

Для Astra Linux Special Edition 4.7 (для архитектуры ARM):
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения libz-mingw-w64 до версии 1.2.12+dfsg-2

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения mariadb-10.3 до версии 1:10.3.36+repack-0+deb10u2.osnova1
Статус уязвимости Подтверждена производителем
Наличие эксплойта Существует в открытом доступе
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
https://redos.red-soft.ru/support/secure/
https://nvd.nist.gov/vuln/detail/CVE-2018-25032
https://github.com/madler/zlib/compare/v1.2.11...v1.2.12
https://github.com/madler/zlib/commit/5c44459c3b28a9bd3283aaceab7c615f8020c531
https://www.openwall.com/lists/oss-security/2022/03/26/1
https://www.openwall.com/lists/oss-security/2022/03/25/2
https://www.openwall.com/lists/oss-security/2022/03/28/1
https://www.openwall.com/lists/oss-security/2022/03/24/1
https://www.openwall.com/lists/oss-security/2022/03/28/3
https://access.redhat.com/security/cve/CVE-2018-25032
https://ubuntu.com/security/CVE-2018-25032
https://ubuntu.com/security/notices/USN-5355-1
https://ubuntu.com/security/notices/USN-5355-2
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NS2D2GFPFGOJUL4WQ3DUAY7HF4VWQ77F/
https://security-tracker.debian.org/tracker/CVE-2018-25032
https://lists.debian.org/debian-lts-announce/2022/04/msg00000.html
https://www.debian.org/security/2022/dsa-5111
https://cve.omprussia.ru/bb13321
https://cve.omprussia.ru/bb14322
https://cve.omprussia.ru/bb15323
https://cve.omprussia.ru/bb16402
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения