BDU:2021-06033: Уязвимость функции dxfRW :: processLType () библиотеки libdfxfw системы автоматизированного проектирования работ LibreCad, позволяющая нарушителю выполнить произвольный код
Детали уязвимости BDU:2021-06033
Описание
Уязвимость функции dxfRW :: processLType () библиотеки libdfxfw системы автоматизированного проектирования работ LibreCad связанная с использованием после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного вредоносного файла формата .dxf
Что делать с BDU:2021-06033
Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.
Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.
Оценка критичности (CVSS)
AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:HAV:N/AC:M/Au:N/C:C/I:C/A:CCWE — тип уязвимости
CVE — международный идентификатор
CWE-416 — использование после освобождения памяти: к блоку памяти обращаются после вызова free(). Ошибка возникает в C и C++ при работе с указателями, когда освобождённый блок используется в обработчике ошибки, деструкторе или отложенной задаче. Через такой указатель злоумышленник читает и меняет чужие данные и добивается выполнения произвольного кода.
Как атакуют и что делать ▾
Сценарий атаки
Программа обращается к блоку памяти после его освобождения. Атакующий заполняет освобождённую память своими данными.
Последствия
Выполнение произвольного кода, повышение привилегий.
Рекомендации
Обнуляйте указатели после free(), используйте smart pointers (C++), применяйте AddressSanitizer.
Тактики и техники
Уязвимое ПО (6)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 9 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Fedora Project | Fedora | 34 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Fedora Project | Fedora | 35 | Не указана |
| Сообщество свободного программного обеспечения | LibreCad | 2.2.0-rc2-19-ge02f3580 | Не указана |
Среды функционирования (5)
| Вендор | Название | Версия | Платформа |
|---|---|---|---|
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 9 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 10 | Не указана |
| Fedora Project | Fedora | 34 | Не указана |
| Сообщество свободного программного обеспечения | Debian GNU/Linux | 11 | Не указана |
| Fedora Project | Fedora | 35 | Не указана |
Рекомендации по устранению
Использование рекомендаций: Для LibreCad: https://talosintelligence.com/vulnerability_reports/TALOS-2021-1351 https://github.com/LibreCAD/libdxfrw/commit/fcd977cc7f8f6cc7f012e5b72d33cf7d77b3fa69 Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2021-21900 Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZTIAMP7QJDKV4ADDLR4GVVX2TXYLHVOZ/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RDI3HCTCACMIC7I4ILB3NRU6DCMADI5H/
SLA ФСТЭК №117
7 дней
по базовой оценке CVSS 8.8
Уточните SLA под вашу среду
Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.
Пересчитать CVSS с учётом средыThreat Intelligence
SSVC: Отслеживать (повышенный)
Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.
Вероятность эксплуатации в 30 дней (FIRST EPSS)
Информация
Обнаружена
2021-08-04
Опубликована
2021-12-13
Обновлена
2021-12-13
Эксплойт
Существует в открытом доступе
Исправление
Уязвимость устранена
Статус
Подтверждена производителем
Управляйте уязвимостями, а не таблицами
Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.
- Уязвимости → активы → ответственные — цепочка за минуту
- PDF-отчёт для ФСТЭК — за один клик
Связанные уязвимости
Уязвимость ядра операционной системы Linux, связанная с неполной очисткой временных или вспомогательных ресурсов, позвол
Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая
Уязвимость ядра операционной системы Linux, связанная с разыменованием указателя с истекшим сроком действия, позволяющая
Уязвимость ядра операционной системы Linux, связанная с неправильной синхронизацией, позволяющая нарушителю вызвать отка
Уязвимость ядра операционной системы Linux, связанная с неосвобождением ресурса после истечения действительного срока ег
Что добавляет КиберОснова к данным БДУ ФСТЭК
CVSS v4.0 + калькулятор
Единственный бесплатный калькулятор CVSS v4.0 на русском языке
SLA по приказу №117
Расчёт срока устранения: 24 ч для критических, 7 дней для высоких
EPSS + CISA KEV
Оценка вероятности эксплуатации и статус активных атак
Полнотекстовый поиск
По названию, CVE, CWE, описанию — русский и английский
Связанные уязвимости
Автоматический подбор по затронутому ПО
Мобильная версия
Адаптивный интерфейс для работы с телефона и планшета
Автоматизируйте управление уязвимостями
КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.
