ГлавнаяБаза уязвимостей БДУ → BDU:2020-01461
7.8высокая

BDU:2020-01461 (CVE-2019-19906)

Уязвимость метода аунтефикации пользователей Cyrus SASL, связанная с записью за границами буфера памяти, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2020-04-14
Описание

Уязвимость метода аунтефикации пользователей Cyrus SASL связана с некорректной работой LDAP-пакета. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии
Astra Linux Special Edition (1.5 «Смоленск»)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Ubuntu (12.04 ESM)Ubuntu (14.04 ESM)Cyrus (от 2.5.0 до 2.5.12 включительно)Debian GNU/Linux (8)Debian GNU/Linux (10)Fedora (31)Ubuntu (19.10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Cyrus SASL (до 2.1.27)Fedora (32)Альт 8 СПОС ОН «Стрелец» (до 16.01.2023)
Способ устранения

Использование рекомендаций:
Для Cyrus SASL:
Обновление программного обеспечения до 2.1.27+dfsg-2 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета cyrus-sasl2) до 2.1.27~101-g0780600+dfsg-3+deb9u1 или более поздней версии

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/MW6GZCLECGL2PBNHVNPJIX4RPVRVFR7R/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/OB4GSVOJ6ESHQNT5GSV63OX5D4KPSTGT/

Для Ubuntu:
https://usn.ubuntu.com/4256-1/

Для Astra Linux:
Обновление программного обеспечения (пакета cyrus-sasl2) до 2.1.27~101-g0780600+dfsg-3+deb9u1 или более поздней версии

Для ОС ОН «Стрелец»:
Обновление программного обеспечения cyrus-sasl2 до версии 2.1.27~101-g0780600+dfsg-3+deb9u2

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет cyrus-sasl2 до 2.1.27~101-g0780600+dfsg-3+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://nvd.nist.gov/vuln/detail/CVE-2019-19906https://security-tracker.debian.org/tracker/CVE-2019-19906https://www.openldap.org/its/index.cgi/Incoming?id=9123https://github.com/cyrusimap/cyrus-sasl/issues/587https://lists.debian.org/debian-lts-announce/2019/12/msg00027.htmlhttps://seclists.org/bugtraq/2019/Dec/42https://usn.ubuntu.com/4256-1/https://www.debian.org/security/2019/dsa-4591
Проверьте безопасность своего сайта и почты → Полная проверка домена