BDU:2022-05960 (CVE-2018-15501)

Уязвимость функции ng_pkt компонента transports/smart_pkt.c реализации методов Git на языке C Libgit2, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-09-28

Описание

Уязвимость функции ng_pkt компонента transports/smart_pkt.c реализации методов Git на языке C Libgit2 связана с чтением за допустимыми границами буфера данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Debian GNU/Linux (11)Libgit2 (до 0.26.6)Libgit2 (от 0.27.0 до 0.27.4)

Способ устранения

Для Libgit2:
использование рекомендаций производителя: https://github.com/libgit2/libgit2/commit/1f9a8510e1d2f20ed7334eeeddb92c4dd8e7c649

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2018-15501

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет libgit2 до 0.25.1+really0.24.6-1+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://bugs.chromium.org/p/oss-fuzz/issues/detail?id=9406 https://bugzilla.suse.com/show_bug.cgi?id=1104641 https://github.com/libgit2/libgit2/commit/1f9a8510e1d2f20ed7334eeeddb92c4dd8e7c649 https://github.com/libgit2/libgit2/releases/tag/v0.27.4 https://nvd.nist.gov/vuln/detail/CVE-2018-15501 https://security-tracker.debian.org/tracker/CVE-2018-15501 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Проверьте безопасность своего сайта и почты → Полная проверка домена