КиберосноваSGRC
BDU:2019-04539
Высокий

BDU:2019-04539: Уязвимость функции tftp_receive_packet библиотеки libcurl, связанная с переполнением буфера в памяти, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

CVSS v39.8
CVSS v27.5
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-04539

Описание

Уязвимость функции tftp_receive_packet библиотеки libcurl связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Что делать с BDU:2019-04539

Высокая уязвимость (CVSS 9.8) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
7.5
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CWE-120
CWE-122

CVE — международный идентификатор

CVE-2019-5482
CWE-120
Классическое переполнение буфера

Копирование данных без проверки размера. Классическая уязвимость C/C++ приложений.

Как атакуют и что делать ▾

Сценарий атаки

Функция strcpy/sprintf копирует данные без проверки размера. Буфер стека перезаписывается вместе с адресом возврата.

Последствия

Выполнение произвольного кода через перезапись стека (classic stack smashing).

Рекомендации

Замените strcpy→strncpy, sprintf→snprintf. Включите Stack Smashing Protection (-fstack-protector).

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (34)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Oracle Corp.Enterprise Manager Ops Center12.3.3Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Fedora ProjectFedora29Не указана
Oracle Corp.HTTP Server12.2.1.3.0Не указана
Novell Inc.OpenSUSE Leap15.032-bit
Novell Inc.OpenSUSE Leap15.1Не указана
Fedora ProjectFedora30Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Oracle Corp.Enterprise Manager Ops Center12.4.0Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Fedora ProjectFedora31Не указана
Daniel StenbergLibcurlот 7.19.4 до 7.65.3 включительноНе указана
ООО «Ред Софт»РЕД ОСдо 7.2 МуромНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
Oracle Corp.Oracle Communications Session Border Controller8.3Не указана
Oracle Corp.MySQL Serverдо 8.0.18 включительноНе указана
Oracle Corp.HTTP Server12.2.1.4.0Не указана
Oracle Corp.Communications Operations Monitor3.4.0Не указана
Oracle Corp.Communications Operations Monitor4.0.0Не указана
Oracle Corp.Communications Operations Monitor4.1.0Не указана
Oracle Corp.Communications Operations Monitor4.2.0Не указана
Oracle Corp.Communications Operations Monitor4.3.0Не указана
Oracle Corp.OSS Support Tools20.0Не указана
Oracle Corp.MySQL Serverдо 5.7.28 включительноНе указана
Oracle Corp.Hyperion Essbase11.1.2.4Не указана
Oracle Corp.Oracle Communications Session Border Controller8.4Не указана
Oracle Corp.MySQL Clusterот 7.3.0 до 7.3.30 включительноНе указана
Oracle Corp.MySQL Clusterот 7.4.0 до 7.4.29 включительноНе указана
Oracle Corp.MySQL Clusterот 7.5.0 до 7.5.19 включительноНе указана
Oracle Corp.MySQL Clusterот 7.6.0 до 7.6.15 включительноНе указана
Oracle Corp.MySQL Clusterот 8.0.0 до 8.0.21 включительноНе указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»1.0Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана

Среды функционирования (14)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Fedora ProjectFedora29Не указана
Novell Inc.OpenSUSE Leap15.032-bit
Novell Inc.OpenSUSE Leap15.0Не указана
Novell Inc.OpenSUSE Leap15.1Не указана
Fedora ProjectFedora30Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Fedora ProjectFedora31Не указана
ООО «Ред Софт»РЕД ОСдо 7.2 МуромНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»1.0Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана

Рекомендации по устранению

Использование рекомендаций: Для Libcurl: https://curl.haxx.se/docs/CVE-2019-5482.html Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/6CI4QQ2RSZX4VCFM76SIWGKY6BY7UWIC/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RGDVKSLY5JUNJRLYRUA6CXGQ2LM63XC3/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UA7KDM2WPM5CJDDGOEGFV6SSGD2J7RNT/ Для программных продуктов Novell Inc.: https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00048.html https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00055.html Для РЕД ОС: Обновление операционной системы до версии 7.2 Муром Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpujan2020.html https://www.oracle.com/security-alerts/cpuapr2020.html https://www.oracle.com/security-alerts/cpuoct2020.html Для Debian: Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-5482 Для Astra Linux: Использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16 https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 Для ОС ОН «Стрелец»: https://strelets.net/patchi-i-obnovleniya-bezopasnosti#kumulyativnoe-obnovlenie Для ОС ОН «Стрелец»: Обновление программного обеспечения curl до версии 7.52.1-5+deb9u16

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации17.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-09-11

Опубликована

2019-12-10

Обновлена

2023-11-21

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2019-5482 MITRE: CWE-120 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-08426
Средний
7.1

Уязвимость функции tcf_pedit_act() модуля act_pedit ядра операционных систем Linux, позволяющая нарушителю вызвать отказ

BDU:2026-08414
Средний
7.8

Уязвимость функции bond_setup_by_slave() компонента bonding driver ядра операционных систем Linux, позволяющая нарушител

BDU:2026-07378
Средний
7.8

Уязвимость функции skb_gro_receive() ядра операционных систем Linux, позволяющая нарушителю, позволяющая нарушителю полу

BDU:2026-07574
Средний
8.8

Уязвимость функции cifs_get_spnego_key() инструмента cifs.upcall пакета cifs-utils ядра операционных систем Linux, позво

BDU:2026-06912
Средний
7.8

Уязвимость функции get_dumpable() ядра операционной системы Linux, позволяющая нарушителю оказать воздействие на конфиде

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0