BDU:2020-01357 (CVE-2018-14880)

Уязвимость функции print-ospf6.c:ospf6_print_lshdr() утилиты для перехвата и анализа сетевого трафика tcpdump, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-04-10

Описание

Уязвимость функции print-ospf6.c:ospf6_print_lshdr() утилиты для перехвата и анализа сетевого трафика tcpdump связана с выходом операции чтения за границы буфера в памяти. Эксплуация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.5 «Смоленск»)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Fedora (29)Red Hat Enterprise Linux (8)SUSE Linux Enterprise Module for Basesystem (15)SUSE Linux Enterprise Module for Basesystem (15 SP1)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Fedora (30)Suse Linux Enterprise Server (12 SP5)Debian GNU/Linux (8)Debian GNU/Linux (10)Fedora (31)Traffix SDC (от 5.0.0 до 5.1.0 включительно)tcpdump (до 4.9.3)SUSE Linux Enterprise High Performance Computing (12 SP5)

Способ устранения

Использование рекомендаций:
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2018-14880/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2018-14880

Для Fedora Project:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/62XY42U6HY3H2APR5EHNWCZ7SAQNMMJN/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FNYXF3IY2X65IOD422SA6EQUULSGW7FN/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/R2UDPOSGVJQIYC33SQBXMDXHH4QDSDMU/

Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2019/10/msg00015.html

Для tcpdump:
https://github.com/the-tcpdump-group/tcpdump/commit/e01c9bf76740802025c9328901b55ee4a0c49ed6

Для Ubuntu:
https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-14880.html

Для Astra Linux:
Обновление программного обеспечения (пакета tcpdump) до 4.9.3-1~deb9u1 или более поздней версии
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://www.suse.com/security/cve/CVE-2018-14880/https://access.redhat.com/security/cve/cve-2018-14880 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/62XY42U6HY3H2APR5EHNWCZ7SAQNMMJN/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FNYXF3IY2X65IOD422SA6EQUULSGW7FN/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/R2UDPOSGVJQIYC33SQBXMDXHH4QDSDMU/https://lists.debian.org/debian-lts-announce/2019/10/msg00015.html https://github.com/the-tcpdump-group/tcpdump/commit/9ba91381954ad325ea4fd26b9c65a8bd9a2a85b6 https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-14880.html

Проверьте безопасность своего сайта и почты → Полная проверка домена