| Описание уязвимости | Уязвимость функции sctp_load_addresses_from_init реализации протокола передачи сообщений с поддержкой множественной адресации usrsctp связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании |
| Вендор | Red Hat Inc., Canonical Ltd., ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Novell Inc., Fedora Project, Google Inc., Mozilla Corp., АО «Концерн ВНИИНС» |
| Наименование ПО | Red Hat Enterprise Linux, Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, OpenSUSE Leap, Fedora, SUSE Package Hub for SUSE Linux Enterprise, usrsctp, Google Chrome, Firefox, Firefox ESR, Thunderbird, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177) |
| Версия ПО | 6 (Red Hat Enterprise Linux), 7 (Red Hat Enterprise Linux), 16.04 LTS (Ubuntu), 18.04 LTS (Ubuntu), 1.6 «Смоленск» (Astra Linux Special Edition), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 8 (Red Hat Enterprise Linux), 15.1 (OpenSUSE Leap), 30 (Fedora), 10.0 (Debian GNU/Linux), 31 (Fedora), 12 (SUSE Package Hub for SUSE Linux Enterprise), 19.10 (Ubuntu), 32 (Fedora), 8.0 Update Services for SAP Solutions (Red Hat Enterprise Linux), до 2019-12-20 (usrsctp), до 80.0.3987.149-1 (Google Chrome), до 74.0-1 (Firefox), до 68.6.0 (Firefox ESR), до 68.8 (Thunderbird), 1.0 (ОС ОН «Стрелец») |
| Тип ПО | Операционная система, Прикладное ПО информационных систем |
| Операционные системы и аппаратные платформы |
|
| Тип ошибки | Чтение за границами буфера |
| Идентификатор типа ошибки | CWE-125 |
| Класс уязвимости | Уязвимость кода |
| Дата выявления | 06.03.2020 |
| Базовый вектор уязвимости |
|
| Уровень опасности уязвимости | Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1) Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5) |
| Возможные меры по устранению уязвимости |
Использование рекомендаций:
Для libusrsctp: Обновление программного обеспечения до 0.9.3.0+20200312-1 или более поздней версии Для chromium: Обновление программного обеспечения до 80.0.3987.149-1 или более поздней версии Для firefox: Обновление программного обеспечения до 74.0-1 или более поздней версии Для firefox-esr: Обновление программного обеспечения до 68.6.0esr-1~deb9u1 или более поздней версии Для thunderbird: Обновление программного обеспечения до 1:68.6.0-1~deb10u1 или более поздней версии Для Debian: Обновление программного обеспечения (пакета libusrsctp) до 0.9.3.0+20200312-1 или более поздней версии, (пакета chromium) до 80.0.3987.149-1 или более поздней версии, (пакета firefox) до 74.0-1 или более поздней версии, (пакета firefox-esr) до 68.6.0esr-1~deb9u1 или более поздней версии, (пакета thunderbird:) до 1:68.6.0-1~deb10u1 или более поздней версии Для программных продуктов Novell Inc.: https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00022.html https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00028.html https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00030.html https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00037.html Для программных продуктов Red Hat Inc.: https://access.redhat.com/errata/RHSA-2020:0815 https://access.redhat.com/errata/RHSA-2020:0816 https://access.redhat.com/errata/RHSA-2020:0819 https://access.redhat.com/errata/RHSA-2020:0820 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2DDNOAGIX5D77TTHT6YPMVJ5WTXTCQEI/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6IOHSO6BUKC6I66J5PZOMAGFVJ66ZS57/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JWANFIR3PYAL5RJQ4AO3ZS2DYMSF2ZGZ/ Для Ubuntu: https://usn.ubuntu.com/4299-1/ https://usn.ubuntu.com/4328-1/ https://usn.ubuntu.com/4335-1/ Для Astra Linux: Обновление программного обеспечения (пакета libusrsctp) до 0.9.3.0+20200312-1 или более поздней версии, (пакета chromium) до 80.0.3987.149-1 или более поздней версии, (пакета firefox) до 74.0-1 или более поздней версии, (пакета firefox-esr) до 68.6.0esr-1~deb9u1 или более поздней версии, (пакета thunderbird:) до 1:68.6.0-1~deb10u1 или более поздней версии Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie |
| Статус уязвимости | Подтверждена производителем |
| Наличие эксплойта | Существует в открытом доступе |
| Способ эксплуатации |
|
| Способ устранения | Обновление программного обеспечения |
| Информация об устранении | Уязвимость устранена |
| Ссылки на источники |
https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00022.html
https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00028.html
https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00030.html
https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00037.html
https://access.redhat.com/errata/RHSA-2020:0815
https://access.redhat.com/errata/RHSA-2020:0816
https://access.redhat.com/errata/RHSA-2020:0819
https://access.redhat.com/errata/RHSA-2020:0820
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/2DDNOAGIX5D77TTHT6YPMVJ5WTXTCQEI/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6IOHSO6BUKC6I66J5PZOMAGFVJ66ZS57/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JWANFIR3PYAL5RJQ4AO3ZS2DYMSF2ZGZ/
https://usn.ubuntu.com/4299-1/
https://usn.ubuntu.com/4328-1/
https://usn.ubuntu.com/4335-1/
https://bugs.chromium.org/p/project-zero/issues/detail?id=1992
https://nvd.nist.gov/vuln/detail/CVE-2019-20503
https://security-tracker.debian.org/tracker/CVE-2019-20503
https://bugs.chromium.org/p/project-zero/issues/detail?id=1992
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200722SE16
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
|
| Идентификаторы других систем описаний уязвимостей |
|
| Прочая информация | Данные уточняются |