BDU:2021-00077: Уязвимость программного обеспечения Firefox, Firefox ESR, Thunderbird, связанная с использованием области памяти после её освобождения, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Описание уязвимости Уязвимость программного обеспечения Firefox, Firefox ESR, Thunderbird связана с использованием области памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании
Вендор Canonical Ltd., ООО «РусБИТех-Астра», Сообщество свободного программного обеспечения, Novell Inc., Mozilla Corp., АО «Концерн ВНИИНС»
Наименование ПО Ubuntu, Astra Linux Special Edition (запись в едином реестре российских программ №369), Debian GNU/Linux, OpenSUSE Leap, Firefox, Thunderbird, Firefox ESR, ОС ОН «Стрелец» (запись в едином реестре российских программ №6177)
Версия ПО 18.04 LTS (Ubuntu), 1.6 «Смоленск» (Astra Linux Special Edition), 8.0 (Debian GNU/Linux), 9.0 (Debian GNU/Linux), 15.1 (OpenSUSE Leap), 10.0 (Debian GNU/Linux), 19.10 (Ubuntu), 20.04 LTS (Ubuntu), 15.2 (OpenSUSE Leap), до 77.0 (Firefox), до 68.9.0 (Thunderbird), до 68.9.0 (Firefox ESR), 1.0 (ОС ОН «Стрелец»)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
  • Canonical Ltd. Ubuntu 16.04 LTS Не указана
  • Canonical Ltd. Ubuntu 18.04 LTS Не указана
  • ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск» Не указана (запись в едином реестре российских программ №369)
  • Сообщество свободного программного обеспечения Debian GNU/Linux 8.0 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 9.0 Не указана
  • Novell Inc. OpenSUSE Leap 15.1 Не указана
  • Сообщество свободного программного обеспечения Debian GNU/Linux 10.0 Не указана
  • Canonical Ltd. Ubuntu 19.10 Не указана
  • Canonical Ltd. Ubuntu 20.04 LTS Не указана
  • Novell Inc. OpenSUSE Leap 15.2 Не указана
  • АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0 Не указана (запись в едином реестре российских программ №6177)
Тип ошибки Использование после освобождения
Идентификатор типа ошибки CWE-416
Класс уязвимости Уязвимость кода
Дата выявления 09.07.2020
Базовый вектор уязвимости
  • CVSS 2.0: AV:N/AC:M/Au:N/C:C/I:C/A:C
  • CVSS 3.0: AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H
Уровень опасности уязвимости Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для firefox:
Обновление программного обеспечения до 77.0-1 или более поздней версии

Для firefox-esr:
Обновление программного обеспечения до 68.9.0esr-1 или более поздней версии

Для thunderbird:
Обновление программного обеспечения до 1:68.9.0-1 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета firefox) до 77.0-1 или более поздней версии, (пакета firefox-esr) до 68.9.0esr-1~deb10u1 или более поздней версии, (пакета thunderbird) до 1:68.9.0-1~deb10u1 или более поздней версии
Или использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для Debian:
Обновление программного обеспечения (пакета firefox) до 77.0-1 или более поздней версии, (пакета firefox-esr) до 68.9.0esr-1~deb10u1 или более поздней версии, (пакета thunderbird) до 1:68.9.0-1~deb10u1 или более поздней версии

Для программных продуктов Novell Inc.:
http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00023.html
http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00026.html
http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00027.html
http://lists.opensuse.org/opensuse-security-announce/2020-07/msg00049.html

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4421-1

Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование структурами данных
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются