| Описание уязвимости | Уязвимость функции _open_index из FpxImagePlugin.py библиотеки для работы с изображениями Pillow связана с недостатком механизма контроля расходуемых ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании |
| Вендор | Canonical Ltd., Сообщество свободного программного обеспечения, ООО «РусБИТех-Астра», Fedora Project, Uploadcare, LLC |
| Наименование ПО | Ubuntu, Debian GNU/Linux, Astra Linux Special Edition (запись в едином реестре российских программ №369), Astra Linux Common Edition (запись в едином реестре российских программ №4433), Fedora, Astra Linux Special Edition для «Эльбрус» (запись в едином реестре российских программ №11156), Pillow |
| Версия ПО | 16.04 LTS (Ubuntu), 9 (Debian GNU/Linux), 18.04 LTS (Ubuntu), 1.6 «Смоленск» (Astra Linux Special Edition), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 2.12 «Орёл» (Astra Linux Common Edition), 30 (Fedora), 10.0 (Debian GNU/Linux), 14.04 ESM (Ubuntu), 10 (Debian GNU/Linux), 19.10 (Ubuntu), 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»), до 6.2.2 (Pillow) |
| Тип ПО | Операционная система, Прикладное ПО информационных систем |
| Операционные системы и аппаратные платформы |
|
| Тип ошибки | Целочисленное переполнение или циклический сдвиг, Неконтролируемый расход ресурса («Истощение ресурса») |
| Идентификатор типа ошибки | CWE-190, CWE-400 |
| Класс уязвимости | Уязвимость кода |
| Дата выявления | 05.01.2020 |
| Базовый вектор уязвимости |
|
| Уровень опасности уязвимости | Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5) |
| Возможные меры по устранению уязвимости |
Использование рекомендаций:
https://pillow.readthedocs.io/en/latest/releasenotes/6.2.0.html Для Debian: https://www.debian.org/security/2020/dsa-4631 https://security-tracker.debian.org/tracker/CVE-2019-19911 Для Ubuntu: https://ubuntu.com/security/notices/USN-4272-1 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3DUMIBUYGJRAVJCTFUWBRLVQKOUTVX5P/ Для Astra Linux: Использование рекомендаций производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 |
| Статус уязвимости | Подтверждена производителем |
| Наличие эксплойта | Данные уточняются |
| Способ эксплуатации |
|
| Способ устранения | Обновление программного обеспечения |
| Информация об устранении | Уязвимость устранена |
| Ссылки на источники |
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3DUMIBUYGJRAVJCTFUWBRLVQKOUTVX5P/
https://nvd.nist.gov/vuln/detail/CVE-2019-19911
https://pillow.readthedocs.io/en/latest/releasenotes/6.2.0.html
https://pillow.readthedocs.io/en/stable/releasenotes/6.2.2.html
https://security-tracker.debian.org/tracker/CVE-2019-19911
https://ubuntu.com/security/notices/USN-4272-1
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16
https://www.debian.org/security/2020/dsa-4631
https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
|
| Идентификаторы других систем описаний уязвимостей |
|
| Прочая информация | Данные уточняются |