ГлавнаяБаза уязвимостей БДУ → BDU:2021-05225
10критическая

BDU:2021-05225 (CVE-2021-34552)

Уязвимость компонента Convert.c библиотеки для работы с изображениями Pillow, связанная с переполнением буфера в памяти, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании
Опубликовано: 2021-10-27
Описание

Уязвимость компонента Convert.c библиотеки для работы с изображениями Pillow связана с возможностью передачи параметров непосредственно в функцию. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии
Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Pillow (от 1.0 до 1.1.7 включительно)Pillow (от 1.2 до 8.2.0 включительно)ОСОН ОСнова Оnyx (до 2.4.3)АЛЬТ СП 10ОС ОН «Стрелец» (до 16.01.2023)
Способ устранения

Для Pillow:
использование рекомендаций производителя: https://pillow.readthedocs.io/en/stable/releasenotes/8.3.0.html#buffer-overflow

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-34552

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Для ОСОН Основа:
Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3osnova1

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет pillow до 4.0.0-4+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет pillow до 4.0.0-4+deb9u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://github.com/python-pillow/Pillow/commit/c546c5a4c01b0c6f1443e525d23a9266b02bb731#diff-4c6e359059664408336d05b7ce98a1f735d1a84d9707820c19970e82b71ed836https://github.com/python-pillow/Pillow/pull/5567https://nvd.nist.gov/vuln/detail/CVE-2021-34552https://pillow.readthedocs.io/en/stable/releasenotes/8.3.0.html#buffer-overflowhttps://security-tracker.debian.org/tracker/CVE-2021-34552https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.3/https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Проверьте безопасность своего сайта и почты → Полная проверка домена