PT-2021-8984 · Nbdkit+2 · Nbdkit+2

Doran Moppert + 1 · Publicado 2020-03-31 · Atualizado 2021-03-24 · CVE-2019-14850

Positive Technologies (AI Summary) · Pt

CVSS v3.1

3.7

Baixa

Vetor base

AV:N/AC:H/PR:N/UI:N/S:U/C:N/I:N/A:L

Nome do software vulnerável e versões afetadas

nbdkit versões 1.12.7, 1.14.1, 1.15.1

Descrição

Foi descoberta uma vulnerabilidade de negação de serviço no nbdkit. Um invasor poderia se conectar ao serviço nbdkit, fazendo com que ele realizasse uma grande quantidade de trabalho na inicialização de plug-ins de back-end simplesmente ao abrir uma conexão com o serviço. Isso poderia causar consumo de recursos e degradação do serviço no nbdkit, dependendo dos plug-ins configurados no lado do servidor.

Recomendações

Para a versão 1.12.7, atualize para uma versão que corrija este problema.

Para a versão 1.14.1, atualize para uma versão que corrija este problema.

Para a versão 1.15.1, atualize para uma versão que corrija este problema.

Como solução temporária, considere restringir o acesso ao serviço nbdkit para minimizar o risco de exploração.

Exploit

Correção

DoS

Enumeração de Fraquezas

CWE-406

Identificadores relacionados

CESA-2020_1167

CVE-2019-14850

RHSA-2020:1167

RHSA-2020_1167

Produtos afetados

Centos

Red Hat

Nbdkit

Referências · 17

• 🔥 https://redhat.com/archives/libguestfs/2019-September/msg00084.html · Exploit
• https://github.com/libguestfs/nbdkit/commit/a6b88b195a959b17524d1c8353fd425d4891dc5f · Nota
• https://github.com/libguestfs/nbdkit/commit/22b30adb796bb6dca264a38598f80b8a234ff978 · Nota
• https://github.com/libguestfs/nbdkit/commit/e06cde00659ff97182173d0e33fff784041bcb4a · Nota
• https://github.com/libguestfs/nbdkit/commit/bf0d61883a2f02f4388ec10dc92d4c61c093679e · Nota
• https://github.com/libguestfs/nbdkit/commit/c05686f9577fa91b6a3a4d8c065954ca6fc3fd62 · Nota
• https://github.com/libguestfs/nbdkit/commit/b2bc6683ea3cd1f6be694e8a681dfa411b7d15f3 · Nota
• https://ubuntu.com/security/CVE-2019-14850 · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2019-14850 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2019-14850 · Aviso do Fabricante
• https://nvd.nist.gov/vuln/detail/CVE-2019-14850 · Nota de Segurança
• https://bugzilla.redhat.com/show_bug.cgi?id=1757258 · Correção
• https://linux.oracle.com/errata/ELSA-2020-1167.html · Aviso do Fabricante
• https://osv.dev/vulnerability/CVE-2019-14850 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2019-14850 · Aviso do Fabricante