Описание
Уязвимость библиотеки синтаксического анализатора XML libexpat связанная с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью отправки специально созданных данных
Вендор
Red Hat Inc.
ООО «РусБИТех-Астра»
Novell Inc.
ООО «Ред Софт»
ФССП России
АО «ИВК»
Сообщество свободного программного обеспечения
IBM Corp.
АО "НППКТ"
АО «Концерн ВНИИНС»
Наименование ПО
Red Hat Enterprise Linux
Astra Linux Special Edition
Astra Linux Special Edition для «Эльбрус»
OpenSUSE Leap
РЕД ОС
ОС ТД АИС ФССП России
Альт 8 СП
libexpat
IBM Cloud Pak System
IBM QRadar SIEM
ОСОН ОСнова Оnyx
АЛЬТ СП 10
ОС ОН «Стрелец»
Версия ПО
7 (Red Hat Enterprise Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
15.3 (OpenSUSE Leap)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
ИК6 (ОС ТД АИС ФССП России)
- (Альт 8 СП)
от 2.0.0 до 2.4.3 (libexpat)
до 2.3.3.5 (IBM Cloud Pak System)
от 7.3 до 7.3.3 Fix Pack 12 (IBM QRadar SIEM)
от 7.4 до 7.4.3 Fix Pack 6 (IBM QRadar SIEM)
от 7.5 до 7.5.0 Update Pack 2 (IBM QRadar SIEM)
4.7 (Astra Linux Special Edition)
до 2.4.3 (ОСОН ОСнова Оnyx)
- (АЛЬТ СП 10)
до 16.01.2023 (ОС ОН «Стрелец»)
Тип ПО
Операционная система
Прикладное ПО информационных систем
ПО виртуализации/ПО виртуального программно-аппаратного средства
Программное средство защиты
Операционные системы и аппаратные платформы
Red Hat Inc. Red Hat Enterprise Linux 7
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Novell Inc. OpenSUSE Leap 15.3
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ФССП России ОС ТД АИС ФССП России ИК6
АО «ИВК» Альт 8 СП -
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.4.3
АО «ИВК» АЛЬТ СП 10 -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для libexpat:
https://github.com/libexpat/libexpat/pull/550
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-23852.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-23852
Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6612587
https://www.ibm.com/support/pages/node/6614725
Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/
Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для ОСОН Основа:
Обновление программного обеспечения expat до версии 2.2.6-2+deb10u3
Для Astra Linux Special Edition 1.7 архитектуры x86-64:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1011SE17MD
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет expat до 2.2.0-2+deb9u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения expat до версии 2.2.0-2+deb9u5
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 82%
0.01846
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 9.8
ubuntu
больше 3 лет назад
Expat (aka libexpat) before 2.4.4 has a signed integer overflow in XML_GetBuffer, for configurations with a nonzero XML_CONTEXT_BYTES.
CVSS3: 9.8
redhat
больше 3 лет назад
Expat (aka libexpat) before 2.4.4 has a signed integer overflow in XML_GetBuffer, for configurations with a nonzero XML_CONTEXT_BYTES.
CVSS3: 9.8
nvd
больше 3 лет назад
Expat (aka libexpat) before 2.4.4 has a signed integer overflow in XML_GetBuffer, for configurations with a nonzero XML_CONTEXT_BYTES.
CVSS3: 9.8
debian
больше 3 лет назад
Expat (aka libexpat) before 2.4.4 has a signed integer overflow in XML ...
EPSS
Процентиль: 82%
0.01846
Низкий
9.8 Critical
CVSS3
10 Critical
CVSS2