BDU:2022-05993: Уязвимость функции JBIG2Stream::readTextRegionSeg() декодера JBIG2 библиотеки для отображения PDF-файлов Poppler, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код

Описание уязвимости Уязвимость функции JBIG2Stream::readTextRegionSeg() декодера JBIG2 библиотеки для отображения PDF-файлов Poppler связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код путем открытия специально созданного PDF-файла или файла изображения JBIG2
Вендор Canonical Ltd., ООО «РусБИТех-Астра», Red Hat Inc., Сообщество свободного программного обеспечения, Novell Inc., Fedora Project, ООО «Ред Софт», АО "НППКТ"
Наименование ПО Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Red Hat Enterprise Linux, Debian GNU/Linux, openSUSE Tumbleweed, Fedora, РЕД ОС (запись в едином реестре российских программ №3751), Poppler, ОСОН ОСнова Оnyx (запись в едином реестре российских программ №5913)
Версия ПО
  • 18.04 LTS (Ubuntu)
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 8 (Red Hat Enterprise Linux)
  • 10 (Debian GNU/Linux)
  • - (openSUSE Tumbleweed)
  • 20.04 LTS (Ubuntu)
  • 16.04 ESM (Ubuntu)
  • 11 (Debian GNU/Linux)
  • 35 (Fedora)
  • 7.3 (РЕД ОС)
  • 1.7 (Astra Linux Special Edition)
  • 36 (Fedora)
  • 22.04 LTS (Ubuntu)
  • 9 (Red Hat Enterprise Linux)
  • до 22.08.0 включительно (Poppler)
  • 4.7 (Astra Linux Special Edition)
  • до 2.6 (ОСОН ОСнова Оnyx)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Целочисленное переполнение или циклический сдвиг
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 25.08.2022
Базовый вектор уязвимости
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Poppler:
https://poppler.freedesktop.org/releases.html
https://gitlab.freedesktop.org/poppler/poppler/-/merge_requests/1261/diffs?commit_id=27354e9d9696ee2bc063910a6c9a6b27c5184a52

Для Ubuntu:
https://ubuntu.com/security/notices/USN-5606-1
https://ubuntu.com/security/notices/USN-5606-2

Для Debian:
https://www.debian.org/security/2022/dsa-5224
https://lists.debian.org/debian-lts-announce/2022/09/msg00030.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TQAO6O2XHPQHNW2MWOCJJ4C3YWS2VV4K/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/J546EJUKUOPWA3JSLP7DYNBAU3YGNCCW/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-38784

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-38784.html

Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/vypolnenie-proizvolnogo-koda-v-poppler-cve-2022-38784/

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения poppler до версии 0.71.0-5+deb10u1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
Статус уязвимости Подтверждена производителем
Наличие эксплойта Существует в открытом доступе
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения