BDU:2024-06023 (CVE-2024-6197)

Уязвимость функции utf8asn1str() парсера ASN1 утилиты командной строки cURL, позволяющая нарушителю выполнить произвольный код или вызвать отказ в обслуживании

Опубликовано: 2024-08-07

Описание

Уязвимость функции utf8asn1str() парсера ASN1 утилиты командной строки cURL связана с освобождением ранее не выделенной памяти при обработке строки ASN1 UTF-8. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код или вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Windows 10 1809Windows Server 2019Windows Server 2019 (Server Core installation)Windows Server 2022Windows Server 2022 (Server Core installation)РЕД ОС (7.3)Windows 10 21H2Astra Linux Special Edition (1.7)Альт 8 СПAstra Linux Special Edition (4.7)Windows 11 22H2Windows 10 22H2Windows 11 21H2АЛЬТ СП 10Windows 11 23H2Windows Server 2022, 23H2 Edition (Server Core installation)cURL (от 8.6.0 до 8.8.0 включительно)Windows 11 24H2CBL Mariner (2.0)ОС Аврора (до 5.1.2 включительно)

Способ устранения

Использование рекомендаций:
Для cURL:
https://curl.se/docs/CVE-2024-6197.html
https://github.com/curl/curl/commit/3a537a4db9e65e545ec45b1b5d5575ee09a2569d
https://github.com/curl/curl/commit/3a537a4db9e65e545

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Astra Linux Special Edition 1.7:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для продуктов Microsoft Corp.:
https://msrc.microsoft.com/update-guide/vulnerability/CVE-2024-6197

Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет curl до 7.68.0-1ubuntu2.22+astra1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Аврора:
https://cve.omp.ru/bb25402

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

http://www.openwall.com/lists/oss-security/2024/07/24/1 http://www.openwall.com/lists/oss-security/2024/07/24/5 https://curl.se/docs/CVE-2024-6197.html https://curl.se/docs/CVE-2024-6197.json https://hackerone.com/reports/2559516 https://github.com/curl/curl/commit/3a537a4db9e65e545ec45b1b5d5575ee09a2569d https://github.com/curl/curl/commit/3a537a4db9e65e545 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена