NVD脆弱性詳細

CVE-2019-3823

概要	libcurl versions from 7.34.0 to before 7.64.0 are vulnerable to a heap out-of-bounds read in the code handling the end-of-response for SMTP. If the buffer passed to `smtp_endofresp()` isn't NUL terminated and contains no character ending the parsed number, and `len` is set to 5, then the `strtol()` call reads beyond the allocated buffer. The read contents will not be returned to the caller.
公表日	2019年2月7日5:29
登録日	2021年1月26日11:42
最終更新日	2024年11月21日13:42

CVSS3.0 : HIGH
スコア	7.5
ベクター	CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃に必要な特権レベル(PR)	不要
利用者の関与(UI)	不要
影響の想定範囲(S)	変更なし
機密性への影響(C)	なし
完全性への影響(I)	なし
可用性への影響(A)	高

CVSS2.0 : MEDIUM
スコア	5.0
ベクター	AV:N/AC:L/Au:N/C:N/I:N/A:P
攻撃元区分(AV)	ネットワーク
攻撃条件の複雑さ(AC)	低
攻撃前の認証要否(Au)	不要
機密性への影響(C)	なし
完全性への影響(I)	なし
可用性への影響(A)	低
全ての特権を取得	いいえ
ユーザー権限を取得	いいえ
その他の権限を取得	いいえ
ユーザー操作が必要	いいえ

影響を受けるソフトウェアの構成

構成1		以上	以下	より上	未満
cpe:2.3:a:haxx:libcurl::::::::		7.34.0			7.64.0

構成2	以上	以下	より上	未満
cpe:2.3:o:canonical:ubuntu_linux:16.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:14.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:18.04::::lts:::
cpe:2.3:o:canonical:ubuntu_linux:18.10:::::::*

構成3		以上	以下	より上	未満
cpe:2.3:o:debian:debian_linux:9.0:::::::*

構成4		以上	以下	より上	未満
cpe:2.3:o:netapp:clustered_data_ontap::::::::

構成5	以上	以下	より上	未満
cpe:2.3:a:oracle:http_server:12.2.1.3.0:::::::*
cpe:2.3:a:oracle:secure_global_desktop:5.4:::::::*
cpe:2.3:a:oracle:communications_operations_monitor:3.4:::::::*
cpe:2.3:a:oracle:communications_operations_monitor:4.0:::::::*

関連情報、対策とツール

No	URL	タグ
1	http://www.securityfocus.com/bid/106950	Third Party Advisory VDB Entry
2	http://www.securityfocus.com/bid/106950	Third Party Advisory VDB Entry
3	https://access.redhat.com/errata/RHSA-2019:3701
4	https://access.redhat.com/errata/RHSA-2019:3701
5	https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3823	Exploit Issue Tracking Patch Third Party Advisory
6	https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-3823	Exploit Issue Tracking Patch Third Party Advisory
7	https://cert-portal.siemens.com/productcert/pdf/ssa-936080.pdf
8	https://cert-portal.siemens.com/productcert/pdf/ssa-936080.pdf
9	https://curl.haxx.se/docs/CVE-2019-3823.html	Patch Vendor Advisory
10	https://curl.haxx.se/docs/CVE-2019-3823.html	Patch Vendor Advisory
11	https://lists.apache.org/thread.html/8338a0f605bdbb3a6098bb76f666a95fc2b2f53f37fa1ecc89f1146f%40%3Cdevnull.infra.apache.org%3E
12	https://lists.apache.org/thread.html/8338a0f605bdbb3a6098bb76f666a95fc2b2f53f37fa1ecc89f1146f%40%3Cdevnull.infra.apache.org%3E
13	https://security.gentoo.org/glsa/201903-03	Third Party Advisory
14	https://security.gentoo.org/glsa/201903-03	Third Party Advisory
15	https://security.netapp.com/advisory/ntap-20190315-0001/	Exploit Third Party Advisory
16	https://security.netapp.com/advisory/ntap-20190315-0001/	Exploit Third Party Advisory
17	https://usn.ubuntu.com/3882-1/	Third Party Advisory
18	https://usn.ubuntu.com/3882-1/	Third Party Advisory
19	https://www.debian.org/security/2019/dsa-4386	Third Party Advisory
20	https://www.debian.org/security/2019/dsa-4386	Third Party Advisory
21	https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html	Patch Third Party Advisory
22	https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html	Patch Third Party Advisory
23	https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html
24	https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html

共通脆弱性一覧

JVN脆弱性情報

libcurl における境界外読み取りに関する脆弱性

タイトル	libcurl における境界外読み取りに関する脆弱性
概要	libcurl には、境界外読み取りに関する脆弱性が存在します。
想定される影響	サービス運用妨害 (DoS) 状態にされる可能性があります。
対策	ベンダより正式な対策が公開されています。ベンダ情報を参照して適切な対策を実施してください。
公表日	2019年2月6日0:00
登録日	2019年3月22日12:03
最終更新日	2019年3月22日12:03

影響を受けるシステム

Debian

Debian GNU/Linux

Canonical

Ubuntu

Haxx

libcurl

NetApp

Clustered Data ONTAP

CVE (情報セキュリティ共通脆弱性識別子)

No	名前	URL
Common Vulnerabilities and Exposures (CVE)
1	CVE-2019-3823	https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2019-3823
National Vulnerability Database (NVD)
2	CVE-2019-3823	https://nvd.nist.gov/vuln/detail/CVE-2019-3823

CWE (共通脆弱性タイプ一覧)

No	名前	URL
JVNDB
1	CWE-125	https://cwe.mitre.org/data/definitions/125.html

ベンダー情報

No	名前	URL
Debian Security Advisory
1	DSA-4386	https://www.debian.org/security/2019/dsa-4386
NetApp Advisory
2	NTAP-20190315-0001	https://security.netapp.com/advisory/ntap-20190315-0001/
Security Advisory
3	SMTP end-of-response out-of-bounds read	https://curl.haxx.se/docs/CVE-2019-3823.html
Ubuntu Security Notice
4	USN-3882-1	https://usn.ubuntu.com/3882-1/

その他

No	名前	URL
ICS-CERT ADVISORY
1	ICSA-19-099-04	https://us-cert.cisa.gov/ics/advisories/ICSA-19-099-04
2	ICSA-21-068-10	https://us-cert.cisa.gov/ics/advisories/icsa-21-068-10
JVN
3	JVNVU#93441670	https://jvn.jp/vu/JVNVU93441670/

変更履歴

No	変更内容	変更日
2	[2021年03月11日] 参考情報：JVN (JVNVU#93441670) を追加	2021年3月11日11:50
1	[2019年03月22日] 掲載	2019年3月22日12:03
3	[2021年03月12日] 参考情報：ICS-CERT ADVISORY (ICSA-21-068-10) を追加参考情報：ICS-CERT ADVISORY (ICSA-19-099-04) を追加	2021年3月12日14:59