INFSA-2025:7118: Устранение уязвимостей osbuild и osbuild-composer
Информация о бюллетене
Идентификатор: INFSA-2025:7118
Тип: устранение уязвимостей
Дата публикации: 2025-06-10 11:42:56 UTC
Информация о пакете
Служба для создания настраиваемых артефактов операционной системы, таких как образы ВМ и коммиты OSTree, которая использует osbuild. Помимо создания образов для локального использования, она также может загружать образы напрямую в облако. Совместима с клиентами composer-cli и cockpit-composer.
Описание уязвимостей
- CVE-2024-1394
Уязвимость языка программирования Golang связана с ошибками освобождения памяти в коде шифрования/дешифрования RSA. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально созданных данных.
- CVE-2024-34158
Уязвимость функции Parse языка программирования Go связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании.
- CVE-2024-9355
Уязвимость FIPS OpenSSL языка программирования Golang позволяет нарушителю случайным образом вызывать возврат неинициализированной переменной длины буфера с обнулённым буфером в режиме FIPS. Также возможно принудительное выполнение ложного срабатывания между неравными хэшами при сравнении доверенной вычисленной суммы hmac с недоверенной входной суммой, если нарушитель может отправить обнулённый буфер вместо предварительно вычисленной суммы. Также возможно принудительно сделать производный ключ состоящим из одних нулей вместо непредсказуемого значения.
Уровень опасности
CVE | Оценка CVSS 2.0 | Оценка CVSS 3.x | Оценка CVSS 4.0 |
---|---|---|---|
NIST — CVE-2024-1394
|
нет информации | 7.5 | нет информации |
NIST — CVE-2024-34158
|
нет информации | 5.9 | нет информации |
NIST — CVE-2024-9355
|
нет информации | 6.5 | нет информации |
Обновлённые пакеты