Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-03489

Опубликовано: 26 дек. 2019
Источник: fstec
CVSS3: 8.1
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость библиотеки для работы с XML Xerces-C связана с некорректным сканированием DTD. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальной информации или вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Apache Software Foundation
АО "НППКТ"
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
Astra Linux Special Edition для «Эльбрус»
Apache Xerces
ОСОН ОСнова Оnyx
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
от 3.0.0 до 3.2.2 включительно (Apache Xerces)
до 2.1 (ОСОН ОСнова Оnyx)
до 16.01.2023 (ОС ОН «Стрелец»)
до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Xerces-C:
http://xerces.apache.org/xerces-c/secadv/CVE-2018-1311.txt
Для Debian:
https://security-tracker.debian.org/tracker/CVE-2018-1311
Для Astra Linux:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
Для ОСОН Основа:
Обновление программного обеспечения xerces-c до версии 3.2.2+debian-1+deb10u1
Для ОС ОН «Стрелец»:
Обновление программного обеспечения xerces-c до версии 3.1.4+debian-2+deb9u2
Для ОСОН ОСнова Оnyx (версия 2.10):
Обновление программного обеспечения xerces-c до версии 3.2.2+debian-1+deb10u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 88%
0.04171
Низкий

8.1 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
больше 5 лет назад

The Apache Xerces-C 3.0.0 to 3.2.3 XML parser contains a use-after-free error triggered during the scanning of external DTDs. This flaw has not been addressed in the maintained version of the library and has no current mitigation other than to disable DTD processing. This can be accomplished via the DOM using a standard parser feature, or via SAX using the XERCES_DISABLE_DTD environment variable.

CVSS3: 8.1
redhat
больше 5 лет назад

The Apache Xerces-C 3.0.0 to 3.2.3 XML parser contains a use-after-free error triggered during the scanning of external DTDs. This flaw has not been addressed in the maintained version of the library and has no current mitigation other than to disable DTD processing. This can be accomplished via the DOM using a standard parser feature, or via SAX using the XERCES_DISABLE_DTD environment variable.

CVSS3: 8.1
nvd
больше 5 лет назад

The Apache Xerces-C 3.0.0 to 3.2.3 XML parser contains a use-after-free error triggered during the scanning of external DTDs. This flaw has not been addressed in the maintained version of the library and has no current mitigation other than to disable DTD processing. This can be accomplished via the DOM using a standard parser feature, or via SAX using the XERCES_DISABLE_DTD environment variable.

CVSS3: 8.1
msrc
больше 3 лет назад

Описание отсутствует

CVSS3: 8.1
debian
больше 5 лет назад

The Apache Xerces-C 3.0.0 to 3.2.3 XML parser contains a use-after-fre ...

EPSS

Процентиль: 88%
0.04171
Низкий

8.1 High

CVSS3

6.8 Medium

CVSS2