Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2022-05919: Уязвимость функции append_to_verify_fifo_interleaved_ компонента stream_encoder.c аудиокодека FLAC, позволяющая нарушителю получить доступ к конфиденциальным данным

Описание уязвимости	Уязвимость функции append_to_verify_fifo_interleaved_ компонента stream_encoder.c аудиокодека FLAC связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю получить доступ к конфиденциальным данным
Вендор	ООО «РусБИТех-Астра», Red Hat Inc., Novell Inc., Сообщество свободного программного обеспечения, Fedora Project, Xiph.Org Foundation, ООО «Юбитех»
Наименование ПО	Astra Linux Special Edition (запись в едином реестре российских программ №369), Red Hat Enterprise Linux, Suse Linux Enterprise Server, SUSE Linux Enterprise Server for SAP Applications, Debian GNU/Linux, Suse Linux Enterprise Desktop, OpenSUSE Leap, Fedora, FLAC, UBLinux (запись в едином реестре российских программ №6874)
Версия ПО	1.6 «Смоленск» (Astra Linux Special Edition) 8 (Red Hat Enterprise Linux) 12 SP5 (Suse Linux Enterprise Server) 12 SP5 (SUSE Linux Enterprise Server for SAP Applications) 10 (Debian GNU/Linux) 12 SP5 (Suse Linux Enterprise Desktop) 15.3 (OpenSUSE Leap) 11 (Debian GNU/Linux) 35 (Fedora) 1.7 (Astra Linux Special Edition) 15.4 (OpenSUSE Leap) 15 SP3 (Suse Linux Enterprise Server) 15 SP3 (SUSE Linux Enterprise Server for SAP Applications) 15 SP3 (Suse Linux Enterprise Desktop) 36 (Fedora) 15 SP4 (Suse Linux Enterprise Server) 15 SP4 (Suse Linux Enterprise Desktop) 15 SP4 (SUSE Linux Enterprise Server for SAP Applications) 9 (Red Hat Enterprise Linux) до 1.3.4 (FLAC) 4.7 (Astra Linux Special Edition) до 2204 (UBLinux)
Тип ПО	Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы	ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» (запись в едином реестре российских программ №369) Red Hat Inc. Red Hat Enterprise Linux 8 Novell Inc. Suse Linux Enterprise Server 12 SP5 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5 Сообщество свободного программного обеспечения Debian GNU/Linux 10 Novell Inc. Suse Linux Enterprise Desktop 12 SP5 Novell Inc. OpenSUSE Leap 15.3 Сообщество свободного программного обеспечения Debian GNU/Linux 11 Fedora Project Fedora 35 ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 (запись в едином реестре российских программ №369) Novell Inc. OpenSUSE Leap 15.4 Novell Inc. Suse Linux Enterprise Server 15 SP3 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3 Novell Inc. Suse Linux Enterprise Desktop 15 SP3 Fedora Project Fedora 36 Novell Inc. Suse Linux Enterprise Server 15 SP4 Novell Inc. Suse Linux Enterprise Desktop 15 SP4 Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 Red Hat Inc. Red Hat Enterprise Linux 9 ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 ARM (запись в едином реестре российских программ №369) ООО «Юбитех» UBLinux до 2204 (запись в едином реестре российских программ №6874)
Тип ошибки	Запись за границами буфера
Идентификатор типа ошибки	CWE-787
Класс уязвимости	Уязвимость кода
Дата выявления	09.02.2022
Базовый вектор уязвимости	CVSS 2.0: AV:L/AC:L/Au:S/C:C/I:N/A:N CVSS 3.0: AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:N/A:N
Уровень опасности уязвимости	Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)
Возможные меры по устранению уязвимости	Использование рекомендаций: Для FLAC: https://github.com/xiph/flac/commit/e1575e4a7c5157cbf4e4a16dbd39b74f7174c7be Для Debian: https://security-tracker.debian.org/tracker/CVE-2021-0561 https://lists.debian.org/debian-lts-announce/2022/03/msg00022.html https://lists.debian.org/debian-lts-announce/2022/09/msg00003.html Для ОС Astra Linux: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17 Для UBLinux: https://security.ublinux.ru/CVE-2021-0561 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EWXBVMPPSL377I7YM55ZYXVKVMYOKES2/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Q4Y7BW35TGNFYBYBSBDSGLUJHHTYEUSG/ Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2021-0561 Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2021-0561.html Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
Статус уязвимости	Подтверждена производителем
Наличие эксплойта	Существует в открытом доступе
Способ эксплуатации	Манипулирование структурами данных
Способ устранения	Обновление программного обеспечения
Информация об устранении	Уязвимость устранена
Ссылки на источники	https://github.com/xiph/flac/commit/e1575e4a7c5157cbf4e4a16dbd39b74f7174c7be https://nvd.nist.gov/vuln/detail/CVE-2021-0561 https://security-tracker.debian.org/tracker/CVE-2021-0561 https://lists.debian.org/debian-lts-announce/2022/03/msg00022.html https://lists.debian.org/debian-lts-announce/2022/09/msg00003.html https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16 https://xiph.org/flac/changelog.html#flac_1.3.4 https://security.ublinux.ru/CVE-2021-0561 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EWXBVMPPSL377I7YM55ZYXVKVMYOKES2/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Q4Y7BW35TGNFYBYBSBDSGLUJHHTYEUSG/ https://access.redhat.com/security/cve/cve-2021-0561 https://www.suse.com/security/cve/CVE-2021-0561.html https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17 https://source.android.com/docs/security/bulletin/pixel/2021-06-01 https://android.googlesource.com/platform/external/flac/+/368eb3f5bec249a197c95a95583ff8153aa6a87f https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
Идентификаторы других систем описаний уязвимостей	CVE: CVE-2021-0561
Прочая информация	Данные уточняются

Последние изменения