BDU:2022-05795 (CVE-2022-40320)

Уязвимость функции cfg_tilde_expand() библиотеки парсера файлов конфигурации libConfuse, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-09-19

Описание

Уязвимость функции cfg_tilde_expand() библиотеки парсера файлов конфигурации libConfuse связана с чтением за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла

Затрагиваемое ПО и версии

Fedora (35)РЕД ОС (7.3)ОС ТД АИС ФССП России (ИК6)Fedora (36)Fedora (37)libConfuse (до 3.3 включительно)

Способ устранения

Использование рекомендаций:
Для libConfuse:
https://github.com/libconfuse/libconfuse/issues/163

Для Ред ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-libconfuse-cve-2022-40320/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EDUT2V62V2XF2IT5TJFPB6P3EQ6X5VLL/
https://bodhi.fedoraproject.org/updates/FEDORA-2022-645dc53ee2
https://bodhi.fedoraproject.org/updates/FEDORA-2022-de992c68d0
https://bodhi.fedoraproject.org/updates/FEDORA-2022-9b67d67195

Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/

Оценка CVSS

Балл	1.8 — средняя опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-libconfuse-cve-2022-40320/https://github.com/libconfuse/libconfuse/issues/163 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EDUT2V62V2XF2IT5TJFPB6P3EQ6X5VLL/https://bugzilla.redhat.com/show_bug.cgi?id=2126404 https://bodhi.fedoraproject.org/updates/FEDORA-2022-645dc53ee2 https://bodhi.fedoraproject.org/updates/FEDORA-2022-de992c68d0 https://bodhi.fedoraproject.org/updates/FEDORA-2022-9b67d67195 https://github.com/libconfuse/libconfuse/issues/163

Проверьте безопасность своего сайта и почты → Полная проверка домена