BDU:2024-00003

Опубликовано: 06 дек. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции TiXmlDeclaration::Parse() компонента tinyxmlparser.cpp XML-парсера TinyXML связана с использованием оператора assert() при обработке символа 0, расположенного после пробела. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Novell Inc.

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «ИВК»

АО «НТЦ ИТ РОСА»

Lee Thomason

АО «НППКТ»

Наименование ПО

OpenSUSE Leap

openSUSE Tumbleweed

РЕД ОС

Astra Linux Special Edition

Альт 8 СП

SUSE Linux Enterprise Module for Package Hub

Astra Linux Common Edition

РОСА ХРОМ

TinyXML

ОСОН ОСнова Оnyx

Версия ПО

15.5 (OpenSUSE Leap)

- (openSUSE Tumbleweed)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

15.4 (OpenSUSE Leap)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

15 SP4 (SUSE Linux Enterprise Module for Package Hub)

1.6 «Смоленск» (Astra Linux Common Edition)

12.4 (РОСА ХРОМ)

15 SP5 (SUSE Linux Enterprise Module for Package Hub)

до 2.6.2 включительно (TinyXML)

до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Novell Inc. OpenSUSE Leap 15.5

Novell Inc. openSUSE Tumbleweed -

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Novell Inc. OpenSUSE Leap 15.4

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «НППКТ» ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

В связи с окончанием жизненного цикла программного продукта TinyXML, производитель рекомендует перейти на TinyXML-2:

https://github.com/leethomason/tinyxml2

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2023-34194.html

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Компенсирующие меры:

- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IDS/IPS);

- ограничение загрузки файлов из недостоверных источников.

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения tinyxml до версии 2.6.2-4+deb10u2

Для ОС Astra Linux:

обновить пакет tinyxml до 2.6.2-4+deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

обновить пакет tinyxml до 2.6.2-4+deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2024-2546

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет tinyxml до 2.6.2-4+deb9u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-34194
CVE

EPSS

Процентиль: 72%

0.01372

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240402-05

CVSS3: 7.5

redos

больше 2 лет назад

Уязвимость tinyxml

ALT-PU-2017-3638

CVSS3: 7.5

altlinux

около 9 лет назад

ALT-PU-2017-3638: package `tinyxml2` update to version 5.0.1-alt1

ALT-PU-2025-3909

CVSS3: 7.5

altlinux

больше 1 года назад

ALT-PU-2025-3909: package `tinyxml` update to version 2.6.2-alt2

CVE-2023-34194

CVSS3: 7.5

ubuntu

почти 3 года назад

StringEqual in TiXmlDeclaration::Parse in tinyxmlparser.cpp in TinyXML through 2.6.2 has a reachable assertion (and application exit) via a crafted XML document with a '\0' located after whitespace.

CVE-2023-34194

CVSS3: 7.5

nvd

почти 3 года назад

StringEqual in TiXmlDeclaration::Parse in tinyxmlparser.cpp in TinyXML through 2.6.2 has a reachable assertion (and application exit) via a crafted XML document with a '\0' located after whitespace.

EPSS

Процентиль: 72%

0.01372

Низкий

7.5 High

CVSS3

7.8 High

CVSS2