Описание
Уязвимость функции XML_ExternalEntityParserCreate библиотеки синтаксического анализатора XML libexpat связана с возможностью использования после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор
Red Hat Inc.
ООО «РусБИТех-Астра»
Сообщество свободного программного обеспечения
Canonical Ltd.
Fedora Project
АО «ИВК»
АО "НППКТ"
Hitachi, Ltd.
Yokogawa Electric Corporation
Наименование ПО
Red Hat Enterprise Linux
Astra Linux Special Edition
Debian GNU/Linux
Ubuntu
Fedora
Альт 8 СП
ОСОН ОСнова Оnyx
libexpat
AFF660/665
AFS660/665S
AFS670v2
AFS670/675
AFR67x
AFS65x
AFS660/665C
АЛЬТ СП 10
GRVSW-663FA
GRVSW-664FA
GRVSW-665FA
GRVSW-666FA
GRVSW-667FA
GRVSW-668FA
GRVSW-669FA
GRVSW-670FA
GRVSW-671FA
GRVSW-672FA
GRVSW-673FA
GRVSW-660FA
GRVSW-661FA
GRVSW-662FA
Версия ПО
7 (Red Hat Enterprise Linux)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
20.04 LTS (Ubuntu)
16.04 ESM (Ubuntu)
11 (Debian GNU/Linux)
35 (Fedora)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
36 (Fedora)
22.04 LTS (Ubuntu)
9 (Red Hat Enterprise Linux)
37 (Fedora)
22.10 (Ubuntu)
до 2.6 (ОСОН ОСнова Оnyx)
18.04 ESM (Ubuntu)
до 2.4.9 включительно (libexpat)
до 03.0.02 включительно (AFF660/665)
до 7.1.05 включительно (AFS660/665S)
до 7.1.05 включительно (AFS670v2)
до 9.1.07 включительно (AFS670/675)
до 9.1.07 включительно (AFR67x)
- (AFS65x)
до 7.1.05 включительно (AFS660/665C)
- (АЛЬТ СП 10)
до 09.1.07 включительно (GRVSW-663FA)
до 09.1.07 включительно (GRVSW-664FA)
до 09.1.07 включительно (GRVSW-665FA)
до 09.1.07 включительно (GRVSW-666FA)
до 09.1.07 включительно (GRVSW-667FA)
до 09.1.07 включительно (GRVSW-668FA)
до 09.1.07 включительно (GRVSW-669FA)
до 09.1.07 включительно (GRVSW-670FA)
до 09.1.07 включительно (GRVSW-671FA)
до 09.1.07 включительно (GRVSW-672FA)
до 09.1.07 включительно (GRVSW-673FA)
до 09.1.07 включительно (GRVSW-660FA)
до 09.1.07 включительно (GRVSW-661FA)
до 09.1.07 включительно (GRVSW-662FA)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Средство АСУ ТП
Сетевое средство
Операционные системы и аппаратные платформы
Red Hat Inc. Red Hat Enterprise Linux 7
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 16.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Fedora Project Fedora 35
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Fedora Project Fedora 36
Canonical Ltd. Ubuntu 22.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 9
Fedora Project Fedora 37
Canonical Ltd. Ubuntu 22.10
АО "НППКТ" ОСОН ОСнова Оnyx до 2.6
Canonical Ltd. Ubuntu 18.04 ESM
АО «ИВК» АЛЬТ СП 10 -
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование средств межсетевого экранирования для ограничения удалённого доступа;
- использование изолированной программной среды для открытия XML-файлов из недоверенных источников.
Использование рекомендаций:
Для XML libexpat:
https://github.com/libexpat/libexpat/issues/649
https://github.com/libexpat/libexpat/issues/616
https://github.com/libexpat/libexpat/issues/650
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-43680
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-43680
Для Ubuntu:
https://ubuntu.com/security/notices/USN-5638-3
https://ubuntu.com/security/notices/USN-5638-2
https://ubuntu.com/security/notices/USN-5638-4
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AJ5VY2VYXE4WTRGQ6LMGLF6FV3SY37YE/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/BY4OPSIB33ETNUXZY2UPZ4NGQ3OKDY4D/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DPQVIF6TOJNY2T3ZZETFKR4G34FFREBQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FFCOMBSOJKLIKCGCJWHLJXO4EVYBG7AR/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/IUJ2BULJTZ2BMSKQHB6US674P55UCWWS/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XG5XOOB7CD55CEE6OJYKSACSIMQ4RWQ6/
Для продуктов Hitachi Energy:
https://www.cisa.gov/news-events/ics-advisories/icsa-23-143-01
Для продуктов Yokogawa:
https://web-material3.yokogawa.com/1/35322/files/YSAR-23-0002-E.pdf
Компенсирующие меры:
- использование средств межсетевого экранирования с целью ограничения доступа систем управления процессами от общедоступных сетей (Интернет);
- использование физических средств защиты от получения доступа к системам управления неуполномоченного персонала;
- исключение доступа систем управления технологическим процессом к общедоступных сетям (Интернет);
- использование средств сканирования компьютеров и съемных носителей для ограничения возможности внедрения вредоносного программного обеспечения
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОСОН ОСнова Оnyx
Обновление программного обеспечения expat до версии 2.2.6-2+deb10u6
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства
Для ОС Astra Linux Special Edition 1.7:
- обновить пакет expat до 2.2.6-2+deb10u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
- обновить пакет firefox до 107.0+build2-0ubuntu0.18.04.1+ci202211242231+astra11 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
- обновить пакет thunderbird до 1:102.6.0+build1-0ubuntu1+ci202212131323+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОС Astra Linux 1.6 «Смоленск»:
- обновить пакет expat до 2.5.0-1+ci202309051316+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
- обновить пакет firefox до 120.0+build2-0ubuntu0.20.04.1+ci202311281348+astra13 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
- обновить пакет thunderbird до 1:115.5.0+build1-0ubuntu1+ci202311280951+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
- ICSA
- YSAR
EPSS
Процентиль: 48%
0.00244
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
ubuntu
больше 2 лет назад
In libexpat through 2.4.9, there is a use-after free caused by overeager destruction of a shared DTD in XML_ExternalEntityParserCreate in out-of-memory situations.
CVSS3: 7.5
redhat
больше 2 лет назад
In libexpat through 2.4.9, there is a use-after free caused by overeager destruction of a shared DTD in XML_ExternalEntityParserCreate in out-of-memory situations.
CVSS3: 7.5
nvd
больше 2 лет назад
In libexpat through 2.4.9, there is a use-after free caused by overeager destruction of a shared DTD in XML_ExternalEntityParserCreate in out-of-memory situations.
EPSS
Процентиль: 48%
0.00244
Низкий
7.5 High
CVSS3
7.8 High
CVSS2