INFSA-2025:7118: Устранение уязвимостей osbuild и osbuild-composer

Информация о бюллетене

Идентификатор: INFSA-2025:7118

Тип: устранение уязвимостей

Дата публикации: 2025-06-10 11:42:56 UTC

Информация о пакете

Служба для создания настраиваемых артефактов операционной системы, таких как образы ВМ и коммиты OSTree, которая использует osbuild. Помимо создания образов для локального использования, она также может загружать образы напрямую в облако. Совместима с клиентами composer-cli и cockpit-composer.

Описание уязвимостей

  • CVE-2024-1394

    Уязвимость языка программирования Golang связана с ошибками освобождения памяти в коде шифрования/дешифрования RSA. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании с помощью специально созданных данных.

  • CVE-2024-34158

    Уязвимость функции Parse языка программирования Go связана с неконтролируемой рекурсией. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании.

  • CVE-2024-9355

    Уязвимость FIPS OpenSSL языка программирования Golang позволяет нарушителю случайным образом вызывать возврат неинициализированной переменной длины буфера с обнулённым буфером в режиме FIPS. Также возможно принудительное выполнение ложного срабатывания между неравными хэшами при сравнении доверенной вычисленной суммы hmac с недоверенной входной суммой, если нарушитель может отправить обнулённый буфер вместо предварительно вычисленной суммы. Также возможно принудительно сделать производный ключ состоящим из одних нулей вместо непредсказуемого значения.

Уровень опасности

CVE Оценка CVSS 2.0 Оценка CVSS 3.x Оценка CVSS 4.0
NIST — CVE-2024-1394
нет информации 7.5 нет информации
нет информации 5.9 нет информации
NIST — CVE-2024-9355
нет информации 6.5 нет информации
Критичный, высокий, средний, низкий

Обновлённые пакеты