BDU:2022-05993 (CVE-2022-38784)

Уязвимость функции JBIG2Stream::readTextRegionSeg() декодера JBIG2 библиотеки для отображения PDF-файлов Poppler, позволяющая нарушителю вызвать отказ в обслуживании или выполнить произвольный код

Опубликовано: 2022-09-30

Описание

Уязвимость функции JBIG2Stream::readTextRegionSeg() декодера JBIG2 библиотеки для отображения PDF-файлов Poppler связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании или выполнить произвольный код путем открытия специально созданного PDF-файла или файла изображения JBIG2

Затрагиваемое ПО и версии

Ubuntu (18.04 LTS)Astra Linux Special Edition (1.6 «Смоленск»)Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)openSUSE TumbleweedUbuntu (20.04 LTS)Ubuntu (16.04 ESM)Debian GNU/Linux (11)Fedora (35)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Fedora (36)Ubuntu (22.04 LTS)Red Hat Enterprise Linux (9)Poppler (до 22.08.0 включительно)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.6)ОС Аврора (до 5.1.4 включительно)

Способ устранения

Использование рекомендаций:
Для Poppler:
https://poppler.freedesktop.org/releases.html
https://gitlab.freedesktop.org/poppler/poppler/-/merge_requests/1261/diffs?commit_id=27354e9d9696ee2bc063910a6c9a6b27c5184a52

Для Ubuntu:
https://ubuntu.com/security/notices/USN-5606-1
https://ubuntu.com/security/notices/USN-5606-2

Для Debian:
https://www.debian.org/security/2022/dsa-5224
https://lists.debian.org/debian-lts-announce/2022/09/msg00030.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TQAO6O2XHPQHNW2MWOCJJ4C3YWS2VV4K/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/J546EJUKUOPWA3JSLP7DYNBAU3YGNCCW/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-38784

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-38784.html

Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/vypolnenie-proizvolnogo-koda-v-poppler-cve-2022-38784/

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения poppler до версии 0.71.0-5+deb10u1

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет poppler до 0.48.0-2+deb9u4+ci202211281202+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС Аврора: https://cve.omp.ru/bb27514

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/uyazvimosti/vypolnenie-proizvolnogo-koda-v-poppler-cve-2022-38784/https://www.suse.com/security/cve/CVE-2022-38784.html https://access.redhat.com/security/cve/cve-2022-38784 https://www.debian.org/security/2022/dsa-5224 http://www.openwall.com/lists/oss-security/2022/09/02/11 https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2022-38171 https://github.com/zmanion/Vulnerabilities/blob/main/CVE-2022-38171.md https://gitlab.freedesktop.org/poppler/poppler/-/merge_requests/1261/diffs?commit_id=27354e9d9696ee2bc063910a6c9a6b27c5184a52

Проверьте безопасность своего сайта и почты → Полная проверка домена