BDU:2024-05923 (CVE-2024-7264)

Уязвимость функции GTime2str парсера ASN1 Parser библиотеки libcurl, позволяющая нарушителю вызвать октаз в обслуживании

Опубликовано: 2024-08-01

Описание

Уязвимость функции GTime2str парсера ASN1 Parser библиотеки libcurl связана с чтением за границами памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать октаз в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)Astra Linux Special Edition (1.7)Альт 8 СПАЛЬТ СП 10Libcurl (от 7.32.0 до 8.9.0 включительно)Astra Linux Special Edition (1.8)ОСОН ОСнова Оnyx (до 2.11.1)Kaspersky Endpoint Security 10 для Linux (10.1.2.329)

Способ устранения

Использование рекомендаций:
https://curl.se/docs/CVE-2024-7264.html

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Astra Linux Special Edition 1.7:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

ОСОН ОСнова Оnyx: Обновление программного обеспечения curl до версии 7.88.1-10+deb12u7.osnova1

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:
обновить пакет curl до 7.88.1-10+deb12u8 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для KESL-Эльбрус:

Обновление программного обеспечения до актуальной версии

Оценка CVSS

Балл	2.6 — средняя опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2024/07/31/1 https://curl.se/docs/CVE-2024-7264.html https://curl.se/docs/CVE-2024-7264.json https://hackerone.com/reports/2629968 https://github.com/curl/curl/commit/3a24cb7bc456366cbc3a03f7ab6d2576105a1f2d https://github.com/curl/curl/commit/27959ecce75cdb2809c0bdb3286e60e08fadb519 https://vuldb.com/?id.273243 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена