Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04263

Опубликовано: 15 фев. 2019
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость XSLT C библиотеки libxslt связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, обойти механизмы защиты и осуществить XXE-атаку

Вендор

Canonical Ltd.
ООО «РусБИТех-Астра»
Novell Inc.
Сообщество свободного программного обеспечения
Fedora Project
Oracle Corp.
АО «ИВК»
АО «Концерн ВНИИНС»
АО «НТЦ ИТ РОСА»

Наименование ПО

Ubuntu
Astra Linux Special Edition
OpenSUSE Leap
Debian GNU/Linux
Fedora
Java SE
libxsl
Astra Linux Special Edition для «Эльбрус»
Альт 8 СП
ОС ОН «Стрелец»
ROSA Virtualization 3.0

Версия ПО

14.04 LTS (Ubuntu)
1.5 «Смоленск» (Astra Linux Special Edition)
16.04 LTS (Ubuntu)
42.3 (OpenSUSE Leap)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
29 (Fedora)
12.04 ESM (Ubuntu)
15.0 (OpenSUSE Leap)
15.1 (OpenSUSE Leap)
30 (Fedora)
8u221 (Java SE)
до 1.1.33 включительно (libxsl)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
- (Альт 8 СП)
до 16.01.2023 (ОС ОН «Стрелец»)
3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Canonical Ltd. Ubuntu 16.04 LTS
Novell Inc. OpenSUSE Leap 42.3
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 18.10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Fedora Project Fedora 29
Canonical Ltd. Ubuntu 12.04 ESM
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Fedora Project Fedora 30
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для XSLT C библиотеки libxslt:
https://gitlab.gnome.org/GNOME/libxslt/commit/e03553605b45c88f0b4b2980adfbbb8f6fca2fd6
Для Debian:
Обновление программного обеспечения (пакета libxslt) до 1.1.28-2+deb8u6 или более поздней версии
Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20200327SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20200429SE81
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-05/msg00048.html
https://lists.opensuse.org/opensuse-security-announce/2019-05/msg00052.html
https://lists.opensuse.org/opensuse-security-announce/2019-05/msg00053.html
https://lists.opensuse.org/opensuse-security-announce/2019-06/msg00025.html
https://lists.opensuse.org/opensuse-security-announce/2019-08/msg00001.html
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/36TEYN37XCCKN2XUMRTBBW67BPNMSW4K/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/GCOAX2IHUMKCM3ILHTMGLHCDSBTLP2JU/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SK4YNISS22MJY22YX5I6V2U63QZAUEHA/
Для программных средств Oracle:
https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libxslt до версии 1.1.29-2.1+deb9u2
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2711

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 75%
0.00934
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
больше 6 лет назад

libxslt through 1.1.33 allows bypass of a protection mechanism because callers of xsltCheckRead and xsltCheckWrite permit access even upon receiving a -1 error code. xsltCheckRead can return -1 for a crafted URL that is not actually invalid and is subsequently loaded.

CVSS3: 6.3
redhat
больше 6 лет назад

libxslt through 1.1.33 allows bypass of a protection mechanism because callers of xsltCheckRead and xsltCheckWrite permit access even upon receiving a -1 error code. xsltCheckRead can return -1 for a crafted URL that is not actually invalid and is subsequently loaded.

CVSS3: 9.8
nvd
больше 6 лет назад

libxslt through 1.1.33 allows bypass of a protection mechanism because callers of xsltCheckRead and xsltCheckWrite permit access even upon receiving a -1 error code. xsltCheckRead can return -1 for a crafted URL that is not actually invalid and is subsequently loaded.

CVSS3: 9.8
debian
больше 6 лет назад

libxslt through 1.1.33 allows bypass of a protection mechanism because ...

suse-cvrf
около 6 лет назад

Security update for libxslt

EPSS

Процентиль: 75%
0.00934
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2