КиберосноваSGRC
BDU:2015-12011
Высокий

BDU:2015-12011: Уязвимости библиотеки libpng, позволяющие нарушителю вызвать отказ в обслуживании

CVSS v27.5
Открыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2015-12011

Описание

Множественные уязвимости функции png_set_PLTE и png_get_PLTE библиотеки libpng вызваны переполнением буфера. Эксплуатация уязвимостей может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании при помощи вставки IHDR заголовка в изображение формата PNG

Что делать с BDU:2015-12011

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v2
7.5
Только просмотр
AV:N/AC:L/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CVE — международный идентификатор

CWE-119
Переполнение буфера

Программа выполняет операции с буфером без проверки границ. Классическая уязвимость, приводящая к выполнению кода.

Как атакуют и что делать ▾

Сценарий атаки

Входные данные превышают размер буфера. Перезаписываются адреса возврата, указатели функций, управляющие структуры.

Последствия

Выполнение произвольного кода, полный захват процесса.

Рекомендации

Используйте безопасные функции работы с памятью, включите защиту стека (SSP), ASLR, DEP.

Уязвимое ПО (9)

ВендорНазваниеВерсияПлатформа
Guy Eric Schalnat Andreas Dilger Glenn Randers-Pehrsonlibpngдо 1.0.64Не указана
Guy Eric Schalnat Andreas Dilger Glenn Randers-Pehrsonlibpngот 1.1.0 до 1.2.54Не указана
Guy Eric Schalnat Andreas Dilger Glenn Randers-Pehrsonlibpngот 1.3.0 до 1.4.17Не указана
Guy Eric Schalnat Andreas Dilger Glenn Randers-Pehrsonlibpngот 1.5.0 до 1.5.24Не указана
Guy Eric Schalnat Andreas Dilger Glenn Randers-Pehrsonlibpngот 1.6.0 до 1.6.19Не указана
Oracle Corp.Java PlatformSE 6u105Не указана
Oracle Corp.Java PlatformSE 7u91Не указана
Oracle Corp.Java PlatformSE 8u66Не указана
Oracle Corp.Java PlatformSE Embedded 8u65Не указана

Среды функционирования (13)

ВендорНазваниеВерсияПлатформа
Apple Inc.MacOS1032-bit
Сообщество свободного программного обеспеченияLinux.PowerPC
Microsoft CorpWindows-64-bit
Microsoft CorpWindows-32-bit
Сообщество свободного программного обеспеченияUnix.64-bit
Сообщество свободного программного обеспеченияUnix.32-bit
Apple Inc.MacOS1064-bit
Apple Inc.MacOS10PowerPC
Oracle Corp.Solaris.64-bit
Oracle Corp.Solaris.32-bit
Oracle Corp.Solaris.PowerPC
Oracle Corp.Solaris.SPARC
Сообщество свободного программного обеспеченияLinux.SPARC

Рекомендации по устранению

Обновление библиотеки до версий 1.0.64, 1.2.54, 1.4.17, 1.5.24 или 1.6.19. Для Java Platform необходимо установить обновление, доступное по адресу https://support.oracle.com/rs?type=doc&id=2087883.1

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации10.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2015-11-13

Опубликована

2016-01-22

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Связанные уязвимости

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0