Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-00220

Опубликовано: 06 окт. 2016
Источник: fstec
CVSS3: 6.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость библиотеки Libxml2 связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО «Концерн ВНИИНС»
АО "НППКТ"

Наименование ПО

Debian GNU/Linux
libxml2
Astra Linux Special Edition
Astra Linux Special Edition для «Эльбрус»
ОС ОН «Стрелец»
ОСОН ОСнова Оnyx

Версия ПО

9 (Debian GNU/Linux)
до 2.9.4 включительно (libxml2)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 16.01.2023 (ОС ОН «Стрелец»)
до 2.14 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО "НППКТ" ОСОН ОСнова Оnyx до 2.14

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Для Libxml2:
использование рекомендаций производителя: https://git.gnome.org/browse/libxml2/commit/?id=2304078555896cf1638c628f50326aeef6f0e0d0
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2016-9318
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u7+ci202211281307+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libxml2 до версии 2.9.4+dfsg1-2.2+deb9u7
Для ОС Astra Linux:
обновить пакет libxml2 до 2.9.4+dfsg1-7+deb10u9.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux:
обновить пакет libxml2 до 2.9.4+dfsg1-7+deb10u9.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47
Обновление программного обеспечения libxml2 до версии 2.9.10+dfsg-6.7+deb11u8.osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 33%
0.00132
Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 5.5
ubuntu
около 9 лет назад

libxml2 2.9.4 and earlier, as used in XMLSec 1.2.23 and earlier and other products, does not offer a flag directly indicating that the current document may be read but other files may not be opened, which makes it easier for remote attackers to conduct XML External Entity (XXE) attacks via a crafted document.

CVSS3: 6.7
redhat
больше 9 лет назад

libxml2 2.9.4 and earlier, as used in XMLSec 1.2.23 and earlier and other products, does not offer a flag directly indicating that the current document may be read but other files may not be opened, which makes it easier for remote attackers to conduct XML External Entity (XXE) attacks via a crafted document.

CVSS3: 5.5
nvd
около 9 лет назад

libxml2 2.9.4 and earlier, as used in XMLSec 1.2.23 and earlier and other products, does not offer a flag directly indicating that the current document may be read but other files may not be opened, which makes it easier for remote attackers to conduct XML External Entity (XXE) attacks via a crafted document.

CVSS3: 5.5
debian
около 9 лет назад

libxml2 2.9.4 and earlier, as used in XMLSec 1.2.23 and earlier and ot ...

suse-cvrf
больше 6 лет назад

Security update for libxml2

EPSS

Процентиль: 33%
0.00132
Низкий

6.5 Medium

CVSS3

7.8 High

CVSS2