Описание
Уязвимость функции xmlValidatePopElement компонента XML Reader Interface библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла
Вендор
ООО «РусБИТех-Астра»
ООО «Ред Софт»
АО «ИВК»
АО «НТЦ ИТ РОСА»
Сообщество свободного программного обеспечения
Axiom JDK
ООО «Открытая мобильная платформа»
АО «НППКТ»
Наименование ПО
Astra Linux Special Edition
Astra Linux Special Edition для «Эльбрус»
РЕД ОС
Альт 8 СП
ROSA Virtualization
РОСА ХРОМ
АЛЬТ СП 10
libxml2
Axiom AxiomJDK
ROSA Virtualization 3.0
ОС Аврора
ОСОН ОСнова Оnyx
ПК СВ «Брест»
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
4.7 (Astra Linux Special Edition)
2.1 (ROSA Virtualization)
12.4 (РОСА ХРОМ)
- (АЛЬТ СП 10)
до 2.11.7 (libxml2)
от 2.12.0 до 2.12.5 (libxml2)
до 11.0.24.0.1 (Axiom AxiomJDK)
до 17.0.12.0.1 (Axiom AxiomJDK)
до 21.0.4.0.1 (Axiom AxiomJDK)
3.0 (ROSA Virtualization 3.0)
до 5.1.4 включительно (ОС Аврора)
до 2.14 (ОСОН ОСнова Оnyx)
до 3.1 (ОСОН ОСнова Оnyx)
до 3.3.4 (ПК СВ «Брест»)
Тип ПО
Операционная система
ПО виртуализации/ПО виртуального программно-аппаратного средства
Прикладное ПО информационных систем
Средство защиты
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «ИВК» АЛЬТ СП 10 -
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
ООО «Открытая мобильная платформа» ОС Аврора до 5.1.4 включительно
АО «НППКТ» ОСОН ОСнова Оnyx до 2.14
АО «НППКТ» ОСОН ОСнова Оnyx до 3.1
ООО «РусБИТех-Астра» ПК СВ «Брест» до 3.3.4
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Libxml2:
https://gitlab.gnome.org/GNOME/libxml2/-/issues/604
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux:
обновить пакет libxml2 до 2.9.4+dfsg1-7+deb10u6+ci202406211629+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u7+ci202405141740+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет libxml2 до 2.9.4+dfsg1-7+deb10u6+ci202406211629+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для ОС Astra Linux:
обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u7+ci202405141740+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
Для AxiomJDK:
https://axiomjdk.ru/pages/downloads/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2624
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2751
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС Аврора: https://cve.omp.ru/bb27514
Обновление программного обеспечения libxml2 до версии 2.9.10+dfsg-6.7+deb11u8.osnova2u1
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения libxml2 до версии 2.9.14+dfsg-1.3~deb12u4
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-3097
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-3073
Для ПК СВ «Брест»:
обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 3.3.4, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 71%
0.01314
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
altlinux
больше 2 лет назад
ALT-PU-2024-3790: package `libxml2` update to version 2.12.5-alt1
CVSS3: 7.5
altlinux
больше 2 лет назад
ALT-PU-2024-2019: package `gem-nokogiri` update to version 1.16.2-alt1
CVSS3: 7.5
altlinux
больше 1 года назад
ALT-PU-2025-3838: package `libxml2` update to version 2.9.12-alt1.p10.2
CVSS3: 7.5
ubuntu
почти 3 года назад
An issue was discovered in libxml2 before 2.11.7 and 2.12.x before 2.12.5. When using the XML Reader interface with DTD validation and XInclude expansion enabled, processing crafted XML documents can lead to an xmlValidatePopElement use-after-free.
EPSS
Процентиль: 71%
0.01314
Низкий
7.5 High
CVSS3
7.8 High
CVSS2