BDU:2022-05926: Уязвимость компонента src/window.c текстового редактора Vim, позволяющая нарушителю получить доступ к конфиденциальным данным

Описание уязвимости

Уязвимость компонента src/window.c текстового редактора Vim связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, АО «Концерн ВНИИНС»

Версия ПО

  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 10 (Debian GNU/Linux)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • 11 (Debian GNU/Linux)
  • до 8.2.4154 (vim)
  • 4.7 (Astra Linux Special Edition)
  • до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система, Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Тип ошибки

Чтение за границами буфера

Идентификатор типа ошибки

Класс уязвимости

Уязвимость кода

Дата выявления

18.01.2022

Базовый вектор уязвимости

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Для Vim:
использование рекомендаций производителя: https://github.com/vim/vim/commit/05b27615481e72e3b338bb12990fb3e0c2ecc2a9

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-0319

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет vim до 2:9.0.0242-1.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения vim до версии 2:8.0.0197-4+deb9u7

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Способ эксплуатации

  • Манипулирование структурами данных

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

Прочая информация

Данные уточняются
Последние изменения