ГлавнаяБаза уязвимостей БДУ → BDU:2023-06204
10критическая

BDU:2023-06204

Уязвимость компонента MXF File Parser мультимедийного фреймворка Gstreamer, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2023-10-03
Описание

Уязвимость компонента MXF File Parser мультимедийного фреймворка Gstreamer связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код, путем загрузки специально сформированного MFX-видеофайла

Затрагиваемое ПО и версии
РЕД ОС (7.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Gstreamer (до 1.22.6)АЛЬТ СП 10ОСОН ОСнова Оnyx (до 2.9)МСВСфера (9.5)ОС Аврора (до 5.1.5 включительно)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование антивирусного программного обеспечения для проверки файлов, полученных из недоверенных источников;
- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;
- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Использование рекомендаций производителя:
https://gstreamer.freedesktop.org/security/sa-2023-0006.html

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения gst-plugins-bad1.0 до версии 1.18.4-3+deb11u3.osnova1

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux Special Edition 1.7:
обновить пакет gst-plugins-bad1.0 до 1.18.4-1astra3.1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0212SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет gst-plugins-bad1.0 до 1.18.4-1astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:2287?lang=ru

Для ОС Аврора: https://cve.omp.ru/bb30515

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://gstreamer.freedesktop.org/security/sa-2023-0006.htmlhttps://www.zerodayinitiative.com/advisories/ZDI-23-1456/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.9/https://altsp.su/obnovleniya-bezopasnosti/http://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:2287?lang=ruhttps://cve.omp.ru/bb30515
Проверьте безопасность своего сайта и почты → Полная проверка домена