BDU:2021-06023 (CVE-2021-21899)

Уязвимость функции dwgCompressor :: copyCompBytes21 библиотеки libdfxfw системы автоматизированного проектирования работ LibreCad, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2021-12-13

Описание

Уязвимость функции dwgCompressor :: copyCompBytes21 библиотеки libdfxfw системы автоматизированного проектирования работ LibreCad связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного вредоносного файла формата .dwg

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (34)Debian GNU/Linux (11)Fedora (35)LibreCad (2.2.0-rc2-19-ge02f3580)UBLinux (до 2109)

Способ устранения

Использование рекомендаций:
Для LibreCad:
https://talosintelligence.com/vulnerability_reports/TALOS-2021-1350
https://github.com/LibreCAD/libdxfrw/commit/6417118874333309aa10c4e59f954c3905a6e8b5

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-21899

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZTIAMP7QJDKV4ADDLR4GVVX2TXYLHVOZ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RDI3HCTCACMIC7I4ILB3NRU6DCMADI5H/

Для UBLinux:
https://security.ublinux.ru/AVG-26

Оценка CVSS

Балл	9.3 — высокая опасность

Источники и патчи

https://github.com/LibreCAD/libdxfrw/commit/6417118874333309aa10c4e59f954c3905a6e8b5 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RDI3HCTCACMIC7I4ILB3NRU6DCMADI5H/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZTIAMP7QJDKV4ADDLR4GVVX2TXYLHVOZ/https://security.ublinux.ru/CVE-2021-21899 https://security-tracker.debian.org/tracker/CVE-2021-21899 https://talosintelligence.com/vulnerability_reports/TALOS-2021-1350

Проверьте безопасность своего сайта и почты → Полная проверка домена