BDU:2021-00071 (CVE-2019-20382)

Уязвимость функции zrle_compress_data программного обеспечения для эмуляции аппаратного обеспечения различных платформ QEMU, связанная с неправильным освобождением памяти перед удалением последней ссылки, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2021-01-13

Описание

Уязвимость функции zrle_compress_data программного обеспечения для эмуляции аппаратного обеспечения различных платформ QEMU связана с некорректным освобождением памяти перед удалением последней ссылки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Astra Linux Special Edition (1.5 «Смоленск»)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)OpenSUSE Leap (15.1)Debian GNU/Linux (8)Debian GNU/Linux (10)Ubuntu (19.10)Ubuntu (20.04 LTS)QEMU (до 4.1.0 включительно)UBLinux (до 21.01)Альт 8 СПОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Для QEMU:
Обновление программного обеспечения до 1:5.0-5 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета qemu) до 1:3.1+dfsg-8+deb10u5 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета qemu) до 1:3.1+dfsg-8+deb10u5 или более поздней версии
Использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2020-04/msg00007.html

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4372-1

Для UBLinux:

https://security.ublinux.ru/ASA-202005-6/generate

Для ОС ОН «Стрелец»:
Обновление программного обеспечения qemu до версии 1:2.8+dfsg.repack-6+deb9u16.osnova1

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Оценка CVSS

Балл	2.7 — средняя опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2020/03/05/1 https://git.qemu.org/?p=qemu.git;a=commit;h=6bf21f3d83e95bcc4ba35a7a07cc6655e8b010b0 https://lists.debian.org/debian-lts-announce/2020/07/msg00020.html https://lists.opensuse.org/opensuse-security-announce/2020-04/msg00007.html https://nvd.nist.gov/vuln/detail/CVE-2019-20382 https://security.ublinux.ru/CVE-2019-20382 https://security-tracker.debian.org/tracker/CVE-2019-20382 https://ubuntu.com/security/notices/USN-4372-1

Проверьте безопасность своего сайта и почты → Полная проверка домена