BDU:2020-00861 (CVE-2019-13118)

Уязвимость функции xsltNumberFormatDecimal библиотеки libxslt, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации

Опубликовано: 2020-03-04

Описание

Уязвимость функции xsltNumberFormatDecimal библиотеки libxslt существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.5 «Смоленск»)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Suse Linux Enterprise Desktop (12 SP4)SUSE Linux Enterprise Server for SAP Applications (12 SP4)SUSE Linux Enterprise Software Development Kit (12 SP4)Suse Linux Enterprise Server (12 SP4)Ubuntu (12.04 ESM)Ubuntu (19.04)SUSE CaaS Platform (3.0)Ubuntu (14.04 ESM)Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Software Development Kit (12 SP5)Debian GNU/Linux (8)MacOS (10.14.5)Debian GNU/Linux (10)Fedora (31)SUSE Linux Enterprise High Performance Computing (12 SP5)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Java SE (8u231)iOS (до 12.4)MacOS (до 10.14.6)tvOS (до 12.4)watchOS (до 5.3)iTunes (до 12.9.6)iCloud (до 7.13)iCloud (от 10.0 до 10.6)libxslt (1.1.33)

Способ устранения

Использование рекомендаций:
Для libxslt:
https://gitlab.gnome.org/GNOME/libxslt/commit/6ce8de69330783977dd14f6569419489875fb71b

Для Ubuntu:
https://usn.ubuntu.com/4164-1/

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2020.html

Для продуктов Apple:
https://support.apple.com/ru-ru/HT210358
https://support.apple.com/ru-ru/HT210357
https://support.apple.com/ru-ru/HT210356
https://support.apple.com/ru-ru/HT210353
https://support.apple.com/ru-ru/HT210351
https://support.apple.com/ru-ru/HT210348
https://support.apple.com/ru-ru/HT210346

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IOYJKXPQCUNBMMQJWYXOR6QRUJZHEDRZ/

Для Debian:
https://lists.debian.org/debian-lts-announce/2019/07/msg00020.html

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-13118/

Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15

Для ОС ОН «Стрелец»:
Обновление программного обеспечения libxslt до версии 1.1.29-2.1+deb9u2

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://gitlab.gnome.org/GNOME/libxslt/commit/6ce8de69330783977dd14f6569419489875fb71b https://usn.ubuntu.com/4164-1/https://www.oracle.com/security-alerts/cpujan2020.html https://support.apple.com/ru-ru/HT210358 https://support.apple.com/ru-ru/HT210357 https://support.apple.com/ru-ru/HT210356 https://support.apple.com/ru-ru/HT210353 https://support.apple.com/ru-ru/HT210351

Проверьте безопасность своего сайта и почты → Полная проверка домена