5средняя
BDU:2020-03241 (CVE-2020-8177)
Уязвимость программного средства для взаимодействия с серверами curl, существующая из-за логической ошибки при обработке Content-Disposition заголовка ответа HTTP, позволяющая нарушителю перезаписать локальный файл
Опубликовано: 2020-07-09
Описание
Уязвимость программного средства для взаимодействия с серверами curl существует из-за логической ошибки при обработке Content-Disposition заголовка ответа HTTP. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, перезаписать локальный файл
Затрагиваемое ПО и версии
Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)SUSE Linux Enterprise Server for SAP Applications (12 SP2)SUSE Linux Enterprise Server for SAP Applications (12 SP2-BCL)SUSE Linux Enterprise Server for SAP Applications (12 SP2-ESPOS)SUSE Linux Enterprise Server for SAP Applications (12 SP2-LTSS)SUSE Linux Enterprise Server for SAP Applications (12 SP3)SUSE Linux Enterprise Server for SAP Applications (12 SP4)SUSE Linux Enterprise Software Development Kit (12 SP4)SUSE OpenStack Cloud (7)Suse Linux Enterprise Server (12 SP4)Ubuntu (12.04 ESM)Red Hat Enterprise Linux (8)SUSE Linux Enterprise Module for Basesystem (15 SP1)SUSE Enterprise Storage (5)Suse Linux Enterprise Server (12 SP2-BCL)Suse Linux Enterprise Server (12 SP2-ESPOS)SUSE Linux Enterprise Point of Sale (11 SP3)SUSE Linux Enterprise Module for Open Buildservice Development Tools (15 SP1)OpenSUSE Leap (15.1)SUSE Linux Enterprise Server for SAP Applications (15)Suse Linux Enterprise Server (11 SP4-LTSS)Suse Linux Enterprise Server (12 SP2-LTSS)SUSE Linux Enterprise Server for SAP Applications (11 SP4-LTSS)Suse Linux Enterprise Server (12 SP3-LTSS)Ubuntu (14.04 ESM)SUSE OpenStack Cloud (8)Suse Linux Enterprise Server (12 SP3-BCL)Suse Linux Enterprise Server (12 SP5)
Способ устранения
Использование рекомендаций:
Для curl:
https://github.com/curl/curl/commit/80675818e0417be8c991513b328c5507e93b47e5
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2020-8177
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2020-8177/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-8177
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4402-1
Для Red OS:
Необходимо запретить использование утилиты curl или установить обновления безопасности для пакета curl-7.61.1
Для ОС ОН «Стрелец»:
https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47
Для ОСОН Основа:
Обновление программного обеспечения curl до версии 7.64.0-4+deb10u2
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Оценка CVSS
| Балл | 5 — средняя опасность |
Источники и патчи