BDU:2023-06157
АО "НППКТ", Mozilla Corp., ООО «Ред Софт», Camunda Services GmbH, Red Hat Inc., АО «ИВК», Google Inc Red Hat Enterprise Linux, Firefox, АЛЬТ СП 10, Astra Linux Special Edition, Debian GNU/Linux, ОСОН О
2023-09-28
Уязвимость функции кодирования в формат VP8 библиотеки libvpx браузера Google Chrome связана с переполнением буфера в динамической памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код при открытии пользователем специально сформированной веб-страницы
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры: - использование средств антивирусной защиты с функцией контроля доступа к веб-ресурсам; - контролируемый доступ в сеть Интернет – регламентация разрешенных сетевых ресурсов и соединений; - запуск веб-браузера от имени пользователя с минимальными возможными привилегиями в операционной системе; - использование альтернативных веб-браузеров; - применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций производителя: Для Google Chrome: https://chromereleases.googleblog.com/2023/09/stable-channel-update-for-desktop_27.html
Для программных продуктов Mozilla Corp.: https://www.mozilla.org/en-US/security/advisories/mfsa2023-44/
Для libvpx: https://github.com/webmproject/libvpx/commit/af6dedd715f4307669366944cca6e0417b290282 https://github.com/webmproject/libvpx/commit/3fbd1dca6a4d2dad332a2110d646e4ffef36d590
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2023-5217
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/CVE-2023-5217
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения chromium до версии 120.0.6099.109+repack-1~deb11u1.osnova1 Обновление программного обеспечения thunderbird до версии 1:115.5.0+repack-1~deb10u1.osnova1 Обновление программного обеспечения firefox-esr до версии 115.5.0esr+repack-1~deb10u1.osnova1 Обновление программного обеспечения libvpx до версии 1.7.0-3+deb10u2
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2357 https://abf.rosalinux.ru/advisories/ROSA-SA-2024-2371
Для Astra Linux Special Edition 4.7: - обновить пакет firefox до 118.0.1+build1-0ubuntu0.20.04.1~mt1+ci202309291803+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47 - обновить пакет libvpx до 1.9.0-1+ci202309291804+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47 - обновить пакет thunderbird до 1:115.3.1+build1-0ubuntu1+ci202310041156+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47 - обновить пакет chromium до 1:120.0.6099.129-0astragost0+ci202312211626+astra7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
Для ОС Astra Linux Special Edition 1.7: - обновить пакет firefox до 118.0.1+build1-0ubuntu0.20.04.1~mt1+ci202309291803+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17 - обновить пакет libvpx до 1.9.0-1+ci202309291804+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17 - обновить пакет thunderbird до 1:115.3.1+build1-0ubuntu1+ci202310041156+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17 - обновить пакет chromium до 1:117.0.5938.132-0astragost0+ci202309291808+astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
Для ОС Astra Linux 1.6 «Смоленск»: - обновить пакет libvpx до 1.6.1-3+deb9u3+ci202310171655+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16 - обновить пакет thunderbird до 1:115.5.0+build1-0ubuntu1+ci202311280951+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16 - обновить пакет firefox до 120.0+build2-0ubuntu0.20.04.1+ci202311281348+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16 - обновить пакет chromium до 1:119.0.6045.199-0astragost0+ci202311302128+astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2495
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2739
Обновление программного обеспечения yandex-browser-certified до версии 24.6.4.697-1osnova2u1
Для ОС Аврора: https://cve.omp.ru/bb27514