BDU:2023-01592

Опубликовано: 24 мар. 2023

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость пакета офисных программ Apache OpenOffice связана с возможностью добавления пустой записи в путь к Java-классу. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код путём загрузки специально сформированного java-файла

Вендор

ООО «РусБИТех-Астра»

Apache Software Foundation

АО "НППКТ"

Наименование ПО

Astra Linux Special Edition

Apache OpenOffice

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

до 4.1.14 (Apache OpenOffice)

до 2.8 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

АО "НППКТ" ОСОН ОСнова Оnyx до 2.8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств антивирусной защиты для проверки загружаемых/запускаемых файлов;

- ограничение доступа/возможности записи в рабочий каталог LibreOffice;

- использование замкнутой программной среды для запуска файлов, полученных из недоверенных источников.

Использование рекомендаций:

https://www.openoffice.org/security/cves/CVE-2022-38745.html

https://lists.apache.org/thread/q3noq7m681kvtb29m28x74q8cnwnzzo0

Для Astra Linux 1.6 «Смоленск»:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20230525SE16MD

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения libreoffice до версии 4:7.4.5+repack-3~bpo11+1osnova1

Для Astra Linux 1.6 «Смоленск»:

обновить пакет libreoffice до 1:6.4.7-0ubuntu0.20.04.7+ci202305311407+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-38745
CVE

EPSS

Процентиль: 9%

0.00036

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2022-38745

CVSS3: 7.8

ubuntu

около 2 лет назад

Apache OpenOffice versions before 4.1.14 may be configured to add an empty entry to the Java class path. This may lead to run arbitrary Java code from the current directory.

CVE-2022-38745

CVSS3: 7.8

redhat

около 2 лет назад

Apache OpenOffice versions before 4.1.14 may be configured to add an empty entry to the Java class path. This may lead to run arbitrary Java code from the current directory.

CVE-2022-38745

CVSS3: 7.8

nvd

около 2 лет назад

Apache OpenOffice versions before 4.1.14 may be configured to add an empty entry to the Java class path. This may lead to run arbitrary Java code from the current directory.

CVE-2022-38745

CVSS3: 7.8

debian

около 2 лет назад

Apache OpenOffice versions before 4.1.14 may be configured to add an e ...

GHSA-w32v-x9j2-mv46

CVSS3: 7.8

github

около 2 лет назад

Apache OpenOffice versions before 4.1.14 may be configured to add an empty entry to the Java class path. This may lead to run arbitrary Java code from the current directory.

EPSS

Процентиль: 9%

0.00036

Низкий

8.8 High

CVSS3

10 Critical

CVSS2