BDU:2019-03616: Уязвимость библиотеки служб сетевой безопасности (NSS) почтового клиента Thunderbird и браузеров Firefox и Firefox ESR, позволяющая нарушителю получить несанкционированный доступ к информации

Описание уязвимости Уязвимость библиотеки служб сетевой безопасности (NSS) почтового клиента Thunderbird и браузеров Firefox и Firefox ESR связана с чтением за пределами буфера при импорте закрытого ключа curve25519 в формате PKCS # 8 с ведущими байтами 0x00. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к информации
Вендор ООО «РусБИТех-Астра», Canonical Ltd., Сообщество свободного программного обеспечения, Mozilla Corp., АО «Концерн ВНИИНС»
Наименование ПО Astra Linux Special Edition (запись в едином реестре российских программ №369), Ubuntu, Debian GNU/Linux, Thunderbird, Firefox ESR, Firefox, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО 1.5 «Смоленск» (Astra Linux Special Edition), 16.04 LTS (Ubuntu), 18.04 LTS (Ubuntu), 18.10 (Ubuntu), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 12.04 ESM (Ubuntu), 19.04 (Ubuntu), 10.0 (Debian GNU/Linux), 14.04 ESM (Ubuntu), до 60.8 (Thunderbird), до 60.8 (Firefox ESR), до 68 (Firefox), 1.0 (ОС ОН «Стрелец»)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск» Не указана (запись в едином реестре российских программ №369)
  • Canonical Ltd. Ubuntu 16.04 LTS Не указана
  • Canonical Ltd. Ubuntu 18.04 LTS Не указана
  • Canonical Ltd. Ubuntu 18.10 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Не указана
  • Canonical Ltd. Ubuntu 12.04 ESM Не указана
  • Canonical Ltd. Ubuntu 19.04 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0 Не указана
  • Canonical Ltd. Ubuntu 14.04 ESM Не указана
  • АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 Не указана (запись в едином реестре российских программ №6177)
Тип ошибки Чтение за границами буфера
Идентификатор типа ошибки CWE-125
Класс уязвимости Уязвимость кода
Дата выявления 23.07.2019
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:N/A:N
  • CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для thunderbird:

Обновление программного обеспечения до 1:60.8.0-1~deb8u1 или более поздней версии



Для firefox-esr:

Обновление программного обеспечения до 60.8.0esr-1~deb9u1 или более поздней версии



Для firefox:

Обновление программного обеспечения до 68.0.1-2 или более поздней версии



Для Debian:

Обновление программного обеспечения(пакета thunderbird) до 1:60.8.0-1~deb8u1 или более поздней версии, (пакета firefox) до 68.0.1-2 или более поздней версии,(пакета firefox-esr) до 60.8.0esr-1~deb9u1 или более поздней версии



Для Ubuntu:

https://usn.ubuntu.com/4054-1/

https://usn.ubuntu.com/4060-1/

https://usn.ubuntu.com/4060-2/

https://usn.ubuntu.com/4064-1/

Для Astra Linux:
Обновление программного обеспечения(пакета thunderbird) до 1:60.8.0-1~deb8u1 или более поздней версии,(пакета firefox) до 68.0.1-2 или более поздней версии,(пакета firefox-esr) до 60.8.0esr-1~deb9u1 или более поздней версии

Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются