КиберосноваSGRC
BDU:2020-05305
Критический

BDU:2020-05305: Уязвимость библиотеки libxml2 операционных систем iOS, iPadOS, tvOS, watchOS, macOS, позволяющая нарушителю выполнить произвольный код

CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2020-05305

Описание

Уязвимость библиотеки libxml2 операционных систем iOS, iPadOS, tvOS, watchOS, macOS связана с переполнением буфера. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2020-05305

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-120

CVE — международный идентификатор

CVE-2020-3909
CWE-120
Классическое переполнение буфера

Копирование данных без проверки размера. Классическая уязвимость C/C++ приложений.

Как атакуют и что делать ▾

Сценарий атаки

Функция strcpy/sprintf копирует данные без проверки размера. Буфер стека перезаписывается вместе с адресом возврата.

Последствия

Выполнение произвольного кода через перезапись стека (classic stack smashing).

Рекомендации

Замените strcpy→strncpy, sprintf→snprintf. Включите Stack Smashing Protection (-fstack-protector).

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (13)

ВендорНазваниеВерсияПлатформа
Oracle Corp.Solaris10Не указана
Oracle Corp.Solaris11Не указана
Apple Inc.MacOS10.13.6Не указана
Apple Inc.MacOS10.14.6Не указана
Apple Inc.tvOSдо 13.4Не указана
Apple Inc.watchOSдо 6.2Не указана
Oracle Corp.Sun ZFS Storage Appliance Kit8.8Не указана
Apple Inc.MacOS10.15.3Не указана
Apple Inc.iOSдо 13.4Не указана
Apple Inc.iPadOSдо 13.4Не указана
Apple Inc.iTunesдо 12.10.5Windows
Apple Inc.iCloudдо 10.9.3Windows
Apple Inc.iCloudдо 7.18Windows

Среды функционирования (9)

ВендорНазваниеВерсияПлатформа
Oracle Corp.Solaris10Не указана
Oracle Corp.Solaris11Не указана
Apple Inc.MacOS10.13.6Не указана
Apple Inc.MacOS10.14.6Не указана
Apple Inc.tvOSдо 13.4Не указана
Apple Inc.watchOSдо 6.2Не указана
Apple Inc.MacOS10.15.3Не указана
Apple Inc.iOSдо 13.4Не указана
Apple Inc.iPadOSдо 13.4Не указана

Рекомендации по устранению

Использоване рекомендаций: Для программных продуктов Apple Inc.: https://support.apple.com/HT211100 https://support.apple.com/HT211101 https://support.apple.com/HT211102 https://support.apple.com/HT211103 https://support.apple.com/HT211105 https://support.apple.com/HT211106 https://support.apple.com/HT211107 Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpuoct2020.html

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации3.0%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2020-04-14

Опубликована

2020-11-24

Обновлена

2020-11-24

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2020-3909 MITRE: CWE-120 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-09082
Высокий
6.5

Уязвимость метода importExternalTexture модуля отображения веб-страниц WebKit браузера Safari операционных систем iOS, i

BDU:2026-06810
Средний
7.0

Уязвимость операционных систем, связанная с неправильной проверкой указанного типа входных данных, позволяющая нарушител

BDU:2026-04653
Средний
4.3

Уязвимость компонента WebKit браузера Safari операционных систем macOS, iOS, iPadOS, visionOS, позволяющая нарушителю вы

BDU:2026-04649
Высокий
6.8

Уязвимость компонента iTunes Store операционных систем iPadOS и iOS, позволяющая нарушителю обойти существующие ограниче

BDU:2026-04651
Средний
6.2

Уязвимость компонента AppleKeyStore операционных систем visionOS, iOS, iPadOS, macOS, watchOS, tvOS, позволяющая нарушит

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0