BDU:2021-03505 (CVE-2020-27814)

Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG, связанная с переполнением буфера кучи, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2021-07-08

Описание

Уязвимость библиотеки для кодирования и декодирования изображений OpenJPEG связана с переполнением буфера кучи. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Common Edition (2.12 «Орёл»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)OpenJPEG (до 1.5.1 включительно)OpenJPEG (от 2.0.0 до 2.4.0)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.1)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для OpenJPEG:
использование рекомендаций производителя: https://github.com/uclouvain/openjpeg/issues/1283

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-27814

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:
Обновление программного обеспечения openjpeg2 до версии 2.3.0-2+deb10u2.osnova1

Для ОС ОН «Стрелец»:
Обновление программного обеспечения openjpeg2 до версии 2.3.0-2+deb10u2.osnova1

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://github.com/uclouvain/openjpeg/commit/15cf3d95814dc931ca0ecb132f81cb152e051bae https://github.com/uclouvain/openjpeg/commit/4ce7d285a55d29b79880d0566d4b010fe1907aa9 https://github.com/uclouvain/openjpeg/commit/649298dcf84b2f20cfe458d887c1591db47372a6 https://github.com/uclouvain/openjpeg/commit/eaa098b59b346cb88e4d10d505061f669d7134fc https://github.com/uclouvain/openjpeg/issues/1283 https://nvd.nist.gov/vuln/detail/CVE-2020-27814 https://security-tracker.debian.org/tracker/CVE-2020-27814 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16

Проверьте безопасность своего сайта и почты → Полная проверка домена