Re: [DONE] wml://security/2018/dsa-4172.wml

[Алексей Шилин <rootlexx@mail.ru>]

В письме от среда, 18 апреля 2018 г. 14:23:46 MSK пользователь Lev Lamberov 
написал:
> Ср 18 апр 2018 @ 10:51 Gali Anikina <merilaga@yandex.ru>:
> 
> 
> > В Сб, 14/04/2018 в 23:05 +0500, Lev Lamberov пишет:
> > 
> >> --- ../../english/security/2018/dsa-4172.wml	2018-04-14
> >> 21:01:09.000000000 +0500
> >> +++ 2018/dsa-4172.wml	2018-04-14 23:05:25.942361285 +0500
> >> @@ -1,44 +1,47 @@
> >> -<define-tag description>security update</define-tag>
> >> +#use wml::debian::translation-check translation="1.1" mindelta="1"
> >> +<define-tag description>обновление безопасности</define-tag>
> >>  <define-tag moreinfo>
> >> -<p>Multiple vulnerabilities were discovered in the implementation of
> >> the
> >> -Perl programming language. The Common Vulnerabilities and Exposures
> >> -project identifies the following problems:</p>
> >> +<p>В реализации языка программирования Perl были обнаружены
> >> многочисленные
> >> +уязвимости. Проект Common Vulnerabilities and Exposures
> >> +определяет следующие проблемы:</p>
> >>  
> >>  <ul>
> >>  
> >>  <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-67
> >> 97">CVE-2018-6797</a>;
> >>  
> >> -    <p>Brian Carpenter reported that a crafted regular expression
> >> -    could cause a heap buffer write overflow, with control over the
> >> -    bytes written.</p></li>
> >> +    <p>Брайан Карпентер сообщил, что специально сформированное
> >> регулярное выражение
> >> +    может вызывать переполнение динамической памяти с записью,
> >> причём записываемые байты
> >> +    могут контролироваться злоумышленником.</p></li>
> >>  
> >
> >
> >
> > "с записью" - это имеется в виду "с возможностью записи в неё"?
> 
> 
> Насколько я понимаю, тут имеется в виду буфер записи
> [https://en.wikipedia.org/wiki/Write_buffer]. Честно сказать, не знаю,
> как тут корректно сформулировать. Может быть "переполнение кучи в буфере
> записи"?

Если зайти непосредственно на описание CVE [1], то там написано иначе:

> A crafted regular expression can cause a heap-based buffer overflow, with
> control over the bytes written.

Имеется в виду переполнение буфера при записи в него, т.е. возможность записи 
за его границами.

 [1] https://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2018-6797

> >>  <li><a href="https://security-tracker.debian.org/tracker/CVE-2018-> >> 6798">CVE-2018-6798</a>;
> >>  
> >> -    <p>Nguyen Duc Manh reported that matching a crafted locale
> >> dependent
> >> -    regular expression could cause a heap buffer read overflow and
> >> -    potentially information disclosure.</p></li>
> >> +    <p>Нгуиен Дук Ман сообщил, что сравнение с зависящим от локали
> >> регулярным
> >> +    выражением может вызвать переполнение динамической памяти с
> >> чтением и
> >> +    потенциальное раскрытие информации.</p></li>

А здесь - чтение за границами буфера.