BDU:2020-01713 (CVE-2018-17581)

Уязвимость компонента crwimage_int.cpp библиотеки для управления метаданными медиафайлов Exiv2, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-04-23

Описание

Уязвимость компонента crwimage_int.cpp библиотеки для управления метаданными медиафайлов Exiv2 связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Red Hat Enterprise Linux (6)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Exiv2 (0.26)SUSE Linux Enterprise Server for SAP Applications (12 SP4)SUSE Linux Enterprise Software Development Kit (12 SP4)Suse Linux Enterprise Server (12 SP4)Ubuntu (12.04 ESM)Astra Linux Common Edition (2.12 «Орёл»)Red Hat Enterprise Linux (8)Ubuntu (14.04 ESM)Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Server for SAP Applications (12 SP5)SUSE Linux Enterprise Software Development Kit (12 SP5)Debian GNU/Linux (8)Debian GNU/Linux (10)Exiv2 (0.27)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.3)Astra Linux Common Edition (1.6 «Смоленск»)

Способ устранения

Использование рекомендаций:
Для Ubuntu:
https://usn.ubuntu.com/3852-1/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2018-17581

Для exiv2:
https://github.com/Exiv2/exiv2/issues/460
https://github.com/Exiv2/exiv2/issues/460

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2018-17581

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2018-17581/

Для Astra Linux:
Обновление программного обеспечения (пакета exiv2) до 0.27.3-3 или более поздней версии

Для ОСОН Основа:
Обновление программного обеспечения exiv2 до версии 0.25+repack-4+deb10u2.osnova0u2

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для архитектуры ARM для 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD

Для ОС Astra Linux:
обновить пакет exiv2 до 0.25-3.1+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS

Балл	4.3 — средняя опасность

Источники и патчи

https://people.canonical.com/~ubuntu-security/cve/2018/CVE-2018-17581.html?_ga=2.153564734.741250733.1547465466-1585452189.1547465466 https://github.com/Exiv2/exiv2/issues/460 https://nvd.nist.gov/vuln/detail/CVE-2018-17581 https://usn.ubuntu.com/3852-1/https://security-tracker.debian.org/tracker/CVE-2018-17581 https://access.redhat.com/security/cve/CVE-2018-17581 https://www.suse.com/security/cve/CVE-2018-17581/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.3/

Проверьте безопасность своего сайта и почты → Полная проверка домена