เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเปƒเบ™ zlib เบ—เบตเปˆเป€เบเบตเบ”เบ‚เบทเป‰เบ™เปƒเบ™เป€เบงเบฅเบฒเบ—เบตเปˆเบšเบตเบšเบญเบฑเบ”เบ‚เปเป‰เบกเบนเบ™เบ—เบตเปˆเบ–เบทเบเบญเบญเบเปเบšเบšเบžเบดเป€เบชเบ”

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆ (CVE-2018-25032) เป„เบ”เป‰เบ–เบทเบเบฅเบฐเบšเบธเป„เบงเป‰เปƒเบ™เบซเป‰เบญเบ‡เบชเบฐเปเบธเบ” zlib, เป€เบฎเบฑเบ”เปƒเบซเป‰เป€เบเบตเบ”เบเบฒเบ™เบฅเบปเป‰เบ™เบšเบฑเบšเป€เบŸเบตเป€เบกเบทเปˆเบญเบžเบฐเบเบฒเบเบฒเบกเบšเบตเบšเบญเบฑเบ”เบฅเปเบฒเบ”เบฑเบšเบ•เบปเบงเบญเบฑเบเบชเบญเบ™เบ—เบตเปˆเบเบฝเบกเป„เบงเป‰เบžเบดเป€เบชเบ”เปƒเบ™เบ‚เปเป‰เบกเบนเบ™เบ‚เบฒเป€เบ‚เบปเป‰เบฒ. เปƒเบ™เบฎเบนเบšเปเบšเบšเบ›เบฐเบˆเบธเบšเบฑเบ™, เบ™เบฑเบเบ„เบปเป‰เบ™เบ„เบงเป‰เบฒเป„เบ”เป‰เบชเบฐเปเบ”เบ‡เปƒเบซเป‰เป€เบซเบฑเบ™เป€เบ–เบดเบ‡เบ„เบงเบฒเบกเบชเบฒเบกเบฒเบ”เปƒเบ™เบเบฒเบ™เป€เบฎเบฑเบ”เปƒเบซเป‰เบ‚เบฐเบšเบงเบ™เบเบฒเบ™เบขเบธเบ”เป€เบŠเบปเบฒเบเบฒเบ™เบœเบดเบ”เบ›เบปเบเบเบฐเบ•เบด. เบšเบฑเบ™เบซเบฒเบญเบฒเบ”เบˆเบฐเบชเบปเปˆเบ‡เบœเบปเบ™เบชเบฐเบ—เป‰เบญเบ™เบฎเป‰เบฒเบเปเบฎเบ‡เบเบงเปˆเบฒเบ™เบฑเป‰เบ™เบเบฑเบ‡เบšเปเปˆเบ—เบฑเบ™เป„เบ”เป‰เบชเบถเบเบชเบฒเป€เบ—เบทเปˆเบญ.

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบ›เบฐเบเบปเบ”เบ‚เบถเป‰เบ™เป€เบฅเบตเปˆเบกเบ•เบปเป‰เบ™เบˆเบฒเบเป€เบงเบตเบŠเบฑเบ™ zlib 1.2.2.2 เปเบฅเบฐเบเบฑเบ‡เบชเบปเปˆเบ‡เบœเบปเบ™เบเบฐเบ—เบปเบšเบ•เปเปˆเบเบฒเบ™เบ›เปˆเบญเบ zlib 1.2.11 เปƒเบ™เบ›เบฐเบˆเบธเบšเบฑเบ™. เป€เบ›เบฑเบ™เบ—เบตเปˆเบชเบฑเบ‡เป€เบเบ”เบงเปˆเบฒ patch เป€เบžเบทเปˆเบญเปเบเป‰เป„เบ‚เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเป„เบ”เป‰เบ–เบทเบเบชเบฐเป€เบซเบ™เบตเบเบฑเบšเบ„เบทเบ™เป„เบ›เบšเปˆเบญเบ™เปƒเบ™เบ›เบต 2018, เปเบ•เปˆเบ™เบฑเบเบžเบฑเบ”เบ—เบฐเบ™เบฒเบšเปเปˆเป„เบ”เป‰เป€เบญเบปเบฒเปƒเบˆเปƒเบชเปˆเบเบฑเบšเบกเบฑเบ™เปเบฅเบฐเบšเปเปˆเป„เบ”เป‰เบญเบญเบเบเบฒเบ™เบ›เปˆเบญเบเบเบฒเบ™เปเบเป‰เป„เบ‚ (เบซเป‰เบญเบ‡เบชเบฐเบซเบกเบธเบ” zlib เป„เบ”เป‰เบ–เบทเบเบ›เบฑเบšเบ›เบธเบ‡เบซเบผเป‰เบฒเบชเบธเบ”เปƒเบ™เบ›เบต 2017). เบเบฒเบ™เปเบเป‰เป„เบ‚เปเบกเปˆเบ™เบเบฑเบ‡เบšเปเปˆเบฅเบงเบกเบขเบนเปˆเปƒเบ™เบŠเบธเบ”เบ—เบตเปˆเบชเบฐเป€เบซเบ™เบตเป‚เบ”เบเบเบฒเบ™เปเบˆเบเบขเบฒเบ. เบ—เปˆเบฒเบ™เบชเบฒเบกเบฒเบ”เบ•เบดเบ”เบ•เบฒเบกเบเบฒเบ™เบžเบดเบกเป€เบœเบตเบเปเบœเปˆเบเบฒเบ™เปเบเป‰เป„เบ‚เป‚เบ”เบเบเบฒเบ™เปเบˆเบเบขเบฒเบเบขเบนเปˆเปƒเบ™เบซเบ™เป‰เบฒเป€เบซเบผเบปเปˆเบฒเบ™เบตเป‰: Debian, RHEL, Fedora, SUSE, Ubuntu, Arch Linux, OpenBSD, FreeBSD, NetBSD. เบซเปเบชเบฐเบซเบกเบธเบ” zlib-ng เบšเปเปˆเป„เบ”เป‰เบฎเบฑเบšเบœเบปเบ™เบเบฐเบ—เบปเบšเบˆเบฒเบเบšเบฑเบ™เบซเบฒ.

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเป€เบเบตเบ”เบ‚เบทเป‰เบ™เบ–เป‰เบฒเบเบฐเปเบชเบ›เป‰เบญเบ™เป€เบ‚เบปเป‰เบฒเบกเบตเบˆเปเบฒเบ™เบงเบ™เบ—เบตเปˆเบเบปเบ‡เบเบฑเบ™เบซเบผเบฒเบเบ—เบตเปˆเบˆเบฐเบšเบฑเบ™เบˆเบธ, เบเบฒเบ™เบซเบธเป‰เบกเบซเปเปˆเบ—เบตเปˆเบ–เบทเบเบ™เปเบฒเปƒเบŠเป‰เป‚เบ”เบเบญเบตเบ‡เปƒเบชเปˆเบฅเบฐเบซเบฑเบ” Huffman เบ„เบปเบ‡เบ—เบตเปˆ. เบžเบฒเบเปƒเบ•เป‰เบชเบฐเบ–เบฒเบ™เบฐเบเบฒเบ™เบšเบฒเบ‡เบขเปˆเบฒเบ‡, เป€เบ™เบทเป‰เบญเปƒเบ™เบ‚เบญเบ‡ buffer เบฅเบฐเบ”เบฑเบšเบ›เบฒเบ™เบเบฒเบ‡เบ—เบตเปˆเบœเบปเบ™เป„เบ”เป‰เบฎเบฑเบšเบ—เบตเปˆเบ–เบทเบเบšเบตเบšเบญเบฑเบ”เบญเบฒเบ”เบˆเบฐเบ—เบฑเบšเบŠเป‰เบญเบ™เบเบฑเบšเบซเบ™เปˆเบงเบเบ„เบงเบฒเบกเบˆเปเบฒเบ—เบตเปˆเบ•เบฒเบ•เบฐเบฅเบฒเบ‡เบ„เบงเบฒเบกเบ–เบตเปˆเบ‚เบญเบ‡เบชเบฑเบ™เบเบฒเบฅเบฑเบเบ–เบทเบเป€เบเบฑเบšเป„เบงเป‰. เบ”เบฑเปˆเบ‡เบ™เบฑเป‰เบ™, เบ‚เปเป‰เบกเบนเบ™เบ—เบตเปˆเบ–เบทเบเบšเบตเบšเบญเบฑเบ”เบšเปเปˆเบ–เบทเบเบ•เป‰เบญเบ‡เบ–เบทเบเบชเป‰เบฒเบ‡เบ‚เบทเป‰เบ™เปเบฅเบฐเบ‚เบฑเบ”เบ‚เป‰เบญเบ‡เบเป‰เบญเบ™เบเบฒเบ™เบ‚เบฝเบ™เบขเบนเปˆเบ™เบญเบเบ‚เบญเบšเป€เบ‚เบ”เบ‚เบญเบ‡ buffer.

เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบชเบฒเบกเบฒเบ”เบ–เบทเบเบ‚เบนเบ”เบฎเบตเบ”เป‚เบ”เบเปƒเบŠเป‰เบเบปเบ™เบฅเบฐเบเบธเบ”เบเบฒเบ™เบšเบตเบšเบญเบฑเบ”เป‚เบ”เบเบญเบตเบ‡เปƒเบชเปˆเบฅเบฐเบซเบฑเบ” Huffman เบ„เบปเบ‡เบ—เบตเปˆ. เบเบธเบ”เบ—เบฐเบชเบฒเบ”เบ—เบตเปˆเบ„เป‰เบฒเบเบ„เบทเบเบฑเบ™เบ–เบทเบเป€เบฅเบทเบญเบเป€เบกเบทเปˆเบญเบ•เบปเบงเป€เบฅเบทเบญเบ Z_FIXED เบ–เบทเบเป€เบ›เบตเบ”เปƒเบŠเป‰เบขเปˆเบฒเบ‡เบŠเบฑเบ”เป€เบˆเบ™เปƒเบ™เบฅเบฐเบซเบฑเบ” (เบ•เบปเบงเบขเปˆเบฒเบ‡เบ‚เบญเบ‡เบฅเปเบฒเบ”เบฑเบšเบ—เบตเปˆเบ™เปเบฒเป„เบ›เบชเบนเปˆเบเบฒเบ™เบ‚เบฑเบ”เบ‚เป‰เบญเบ‡เปƒเบ™เป€เบงเบฅเบฒเบ—เบตเปˆเปƒเบŠเป‰เบ—เบฒเบ‡เป€เบฅเบทเบญเบ Z_FIXED). เบเบฒเบ™เบ•เบฑเบ”เบชเบดเบ™เป‚เบ”เบเบฅเบฐเบซเบฑเบ”, เบเบธเบ”เบ—เบฐเบชเบฒเบ” Z_FIXED เบเบฑเบ‡เบชเบฒเบกเบฒเบ”เบ–เบทเบเป€เบฅเบทเบญเบเป‚เบ”เบเบญเบฑเบ”เบ•เบฐเป‚เบ™เบกเบฑเบ”เบ–เป‰เบฒเบ•เบปเป‰เบ™เป„เบกเป‰เบ—เบตเปˆเป€เบซเบกเบฒเบฐเบชเบปเบกเปเบฅเบฐเบ„เบปเบ‡เบ—เบตเปˆเบ—เบตเปˆเบ„เบดเบ”เป„เบฅเปˆเบชเปเบฒเบฅเบฑเบšเบ‚เปเป‰เบกเบนเบ™เบกเบตเบ‚เบฐเบซเบ™เบฒเบ”เบ”เบฝเบงเบเบฑเบ™.

เบกเบฑเบ™เบเบฑเบ‡เบšเปเปˆเบ—เบฑเบ™เป€เบ›เบฑเบ™เบ—เบตเปˆเบˆเบฐเปเบˆเป‰เบ‡เป€เบ—เบทเปˆเบญเบงเปˆเบฒเป€เบ‡เบทเปˆเบญเบ™เป„เบ‚เบเบฒเบ™เบ‚เบนเบ”เบฎเบตเบ”เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบชเบฒเบกเบฒเบ”เบ–เบทเบเป€เบฅเบทเบญเบเป‚เบ”เบเปƒเบŠเป‰เบเบธเบ”เบ—เบฐเบชเบฒเบ”เบเบฒเบ™เบšเบตเบšเบญเบฑเบ” Z_DEFAULT_STRATEGY เป€เบฅเบตเปˆเบกเบ•เบปเป‰เบ™เบซเบผเบทเบšเปเปˆ. เบ–เป‰เบฒเบšเปเปˆเปเบกเปˆเบ™, เบŠเปˆเบญเบ‡เป‚เบซเบงเปˆเบˆเบฐเบ–เบทเบเบˆเบณเบเบฑเบ”เบขเบนเปˆเปƒเบ™เบฅเบฐเบšเบปเบšเบชเบฐเป€เบžเบฒเบฐเบšเบฒเบ‡เบญเบฑเบ™เบ—เบตเปˆเปƒเบŠเป‰เบ•เบปเบงเป€เบฅเบทเบญเบ Z_FIXED เบขเปˆเบฒเบ‡เบŠเบฑเบ”เป€เบˆเบ™. เบ–เป‰เบฒเป€เบ›เบฑเบ™เบ”เบฑเปˆเบ‡เบ™เบฑเป‰เบ™, เบซเบผเบฑเบ‡เบˆเบฒเบเบ™เบฑเป‰เบ™, เบ„เบงเบฒเบกเป€เบชเบเบซเบฒเบเบˆเบฒเบเบ„เบงเบฒเบกเบญเปˆเบญเบ™เปเบญเบญเบฒเบ”เบˆเบฐเบกเบตเบ„เบงเบฒเบกเบชเปเบฒเบ„เบฑเบ™เบซเบผเบฒเบ, เป€เบ™เบทเปˆเบญเบ‡เบˆเบฒเบเบงเปˆเบฒเบซเป‰เบญเบ‡เบชเบฐเบซเบกเบธเบ” zlib เป€เบ›เบฑเบ™เบกเบฒเบ”เบ•เบฐเบ–เบฒเบ™ de facto เปเบฅเบฐเบ–เบทเบเบ™เปเบฒเปƒเบŠเป‰เปƒเบ™เป‚เบ„เบ‡เบเบฒเบ™เบ—เบตเปˆเบ™เบดเบเบปเบกเบซเบผเบฒเบ, เบฅเบงเบกเบ—เบฑเบ‡ Linux kernel, OpenSSH, OpenSSL, apache httpd, libpng, FFmpeg, rsync, dpkg. , rpm, Git, PostgreSQL, MySQL, เปเบฅเบฐเบญเบทเปˆเบ™เป†.

เปเบซเบผเปˆเบ‡เบ‚เปเป‰เบกเบนเบ™: opennet.ru

เป€เบžเบตเปˆเบกเบ„เบงเบฒเบกเบ„เบดเบ”เป€เบซเบฑเบ™