BDU:2024-05040 (CVE-2023-46045)

Уязвимость приложения для визуализации графов Graphviz, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2024-07-05

Описание

Уязвимость приложения для визуализации графов Graphviz связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально созданного config6a файла

Затрагиваемое ПО и версии

Ubuntu (14.04 ESM)Ubuntu (20.04 LTS)Ubuntu (16.04 ESM)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Ubuntu (22.04 LTS)Ubuntu (18.04 ESM)АЛЬТ СП 10Graphviz (от 2.36.0 до 10.0.0)

Способ устранения

Использование рекомендаций:
Для Graphviz:
https://gitlab.com/graphviz/graphviz/-/issues/2441

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-46045

Для Ubuntu:
https://ubuntu.com/security/notices/USN-6708-1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://gitlab.com/graphviz/graphviz/-/issues/2441 http://seclists.org/fulldisclosure/2024/Feb/24 https://seclists.org/fulldisclosure/2024/Feb/24 https://seclists.org/fulldisclosure/2024/Jan/73 https://www.openwall.com/lists/oss-security/2024/02/01/2 https://vuldb.com/?id.252639 https://security-tracker.debian.org/tracker/CVE-2023-46045 https://ubuntu.com/security/notices/USN-6708-1

Проверьте безопасность своего сайта и почты → Полная проверка домена