BDU:2023-05427

Опубликовано: 11 июл. 2023

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость механизма объединения XML-документов XInclude библиотеки отрисовки векторной графики librsvg связана с неверным ограничением имени пути к каталогу с ограниченным доступом при обработке элемента xi:include. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «РусБИТех-Астра»

АО «ИВК»

Red Hat, Inc.

Fedora Project

АО «НТЦ ИТ РОСА»

АО «НППКТ»

Наименование ПО

Debian GNU/Linux

Ubuntu

Astra Linux Special Edition

Альт 8 СП

Red Hat Enterprise Linux

Fedora

РОСА ХРОМ

librsvg

АЛЬТ СП 10

ОСОН ОСнова Оnyx

Версия ПО

10 (Debian GNU/Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

37 (Fedora)

4.7 (Astra Linux Special Edition)

9.0 Extended Update Support (Red Hat Enterprise Linux)

38 (Fedora)

23.04 (Ubuntu)

12.4 (РОСА ХРОМ)

от 2.56.0 до 2.56.3 (librsvg)

от 2.55.0 до 2.55.3 (librsvg)

от 2.54.0 до 2.54.6 (librsvg)

от 2.52.0 до 2.52.10 (librsvg)

от 2.50.0 до 2.50.8 (librsvg)

от 2.48.0 до 2.48.11 (librsvg)

до 2.46.6 (librsvg)

- (АЛЬТ СП 10)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat, Inc. Red Hat Enterprise Linux 9

Fedora Project Fedora 37

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Red Hat, Inc. Red Hat Enterprise Linux 9.0 Extended Update Support

Fedora Project Fedora 38

Canonical Ltd. Ubuntu 23.04

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО «НППКТ» ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для librsvg:

https://gitlab.gnome.org/GNOME/librsvg/-/issues/996

https://gitlab.gnome.org/GNOME/librsvg/-/releases

https://gitlab.gnome.org/GNOME/librsvg/-/releases/2.56.3

https://gitlab.gnome.org/GNOME/librsvg/-/merge_requests/861

Для Альт 8 СП:

https://altsp.su/obnovleniya-bezopasnosti/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-38633

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-38633

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/422NTIHIEBRASIG2DWXYBH4ADYMHY626/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/R5BCXT5GW6RCL45ZUHUZR4CJG2BAFDVC/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6266-1

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2276

Для ОС Astra Linux Special Edition 1.7:

обновить пакет librsvg до 2.50.3+dfsg-1+deb11u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения librsvg до версии 2.50.3+dfsg-1+deb11u1

Для Astra Linux Special Edition 4.7:

обновить пакет librsvg до 2.50.3+dfsg-1+deb11u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-38633
CVE

EPSS

Процентиль: 84%

0.02325

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

ROS-20230911-09

CVSS3: 5.5

redos

около 3 лет назад

Уязвимость librsvg

ALT-PU-2023-8841

CVSS3: 5.5

altlinux

больше 3 лет назад

ALT-PU-2023-8841: package `librsvg` update to version 2.56.3-alt1

ALT-PU-2023-4801

CVSS3: 5.5

altlinux

около 3 лет назад

ALT-PU-2023-4801: package `librsvg` update to version 2.56.3-alt1

CVE-2023-38633

CVSS3: 5.5

ubuntu

больше 3 лет назад

A directory traversal problem in the URL decoder of librsvg before 2.56.3 could be used by local or remote attackers to disclose files (on the local filesystem outside of the expected area), as demonstrated by href=".?../../../../../../../../../../etc/passwd" in an xi:include element.

CVE-2023-38633

CVSS3: 5.5

redhat

больше 3 лет назад

EPSS

Процентиль: 84%

0.02325

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2