BDU:2022-02090 (CVE-2020-36407)

Уязвимость функции avifDecoderDataFillImageGrid библиотеки для кодирования и декодирования файлов .avif Libavif, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2022-04-11

Описание

Уязвимость функции avifDecoderDataFillImageGrid библиотеки для кодирования и декодирования файлов .avif Libavif связана с записью за границами буфера. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (11)Libavif (от 0.8.0 до 0.8.2)

Способ устранения

Для Libavif:
использование рекомендаций производителя: https://github.com/google/oss-fuzz-vulns/blob/main/vulns/libavif/OSV-2020-1597.yaml

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-36407

Оценка CVSS

Балл	9.3 — высокая опасность

Источники и патчи

https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=24811 https://github.com/AOMediaCodec/libavif/commit/0a8e7244d494ae98e9756355dfbfb6697ded2ff9 https://github.com/google/oss-fuzz-vulns/blob/main/vulns/libavif/OSV-2020-1597.yaml https://nvd.nist.gov/vuln/detail/CVE-2020-36407 https://security-tracker.debian.org/tracker/CVE-2020-36407

Проверьте безопасность своего сайта и почты → Полная проверка домена