BDU:2024-04986 (CVE-2019-20393)

Уязвимость функции yyparse() синтаксического анализатора и инструментария языка моделирования данных YANG Libyang, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании

Опубликовано: 2024-07-04

Описание

Уязвимость функции yyparse() синтаксического анализатора и инструментария языка моделирования данных YANG Libyang связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код или вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (10)SmartFabric OS10 (10.5.5.8)libyang (до 1.0-r1)

Способ устранения

Использование рекомендаций:
Для Libyang:
https://github.com/CESNET/libyang/tree/v1.0-r1
https://github.com/CESNET/libyang/commit/d9feacc4a590d35dbc1af21caf9080008b4450ed

Для Dell SmartFabric OS10:
https://www.dell.com/support/kbdoc/nl-nl/000224301/dsa-2024-185-security-update-for-dell-os10-third-party-vulnerabilities

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-20393
https://lists.debian.org/debian-lts-announce/2023/09/msg00019.html

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://bugzilla.redhat.com/show_bug.cgi?id=1793930 https://github.com/CESNET/libyang/commit/d9feacc4a590d35dbc1af21caf9080008b4450ed https://github.com/CESNET/libyang/compare/v0.16-r3...v1.0-r1 https://github.com/CESNET/libyang/issues/742 https://lists.debian.org/debian-lts-announce/2023/09/msg00019.html https://safe-surf.ru/upload/VULN-new/VULN.2024-06-17.1.pdf https://security-tracker.debian.org/tracker/CVE-2019-20393 https://github.com/advisories/GHSA-xr5g-jrq4-w3j4

Проверьте безопасность своего сайта и почты → Полная проверка домена