BDU:2019-00922 (CVE-2018-15518)

Уязвимость функции QXMLStreamReader компонента QXmlStream кроссплатформенного фреймворка для разработки программного обеспечения Qt, позволяющая нарушителю вызвать отказ в обслуживании или получить несанкционированный доступ к информации

Опубликовано: 2019-03-06

Описание

Уязвимость функции QXMLStreamReader компонента QXmlStream кроссплатформенного фреймворка для разработки программного обеспечения Qt связана с двойным освобождением памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или получить несанкционированный доступ к информации с помощью специально созданного XML-документа

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Qt (от 5.5.0 до 5.11.3)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)ОС ОН «Стрелец» (до 16.01.2023)ОС Аврора (до 5.1.4 включительно)

Способ устранения

Использование рекомендаций:
Для Qt:
https://codereview.qt-project.org/#/c/236691/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2018-15518

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения qt4-x11 до версии 4:4.8.7+dfsg.repack-11+deb9u1.osnova1

Для ОС Аврора: https://cve.omp.ru/bb27514

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

http://lists.opensuse.org/opensuse-security-announce/2018-12/msg00066.html https://codereview.qt-project.org/#/c/236691/https://nvd.nist.gov/vuln/detail/CVE-2018-15518 https://security-tracker.debian.org/tracker/CVE-2018-15518 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023 https://cve.omp.ru/bb27514

Проверьте безопасность своего сайта и почты → Полная проверка домена