BDU:2024-01415

Опубликовано: 12 фев. 2024

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функции xmlValidatePopElement компонента XML Reader Interface библиотеки Libxml2 связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданного файла

Вендор

ООО «РусБИТех-Астра»

ООО «Ред Софт»

АО «ИВК»

АО «НТЦ ИТ РОСА»

Сообщество свободного программного обеспечения

Axiom JDK

ООО "Открытая мобильная платформа"

АО «НППКТ»

Наименование ПО

Astra Linux Special Edition

Astra Linux Special Edition для «Эльбрус»

РЕД ОС

Альт 8 СП

ROSA Virtualization

РОСА ХРОМ

АЛЬТ СП 10

libxml2

Axiom AxiomJDK

ROSA Virtualization 3.0

ОС Аврора

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

2.1 (ROSA Virtualization)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

до 2.11.7 (libxml2)

от 2.12.0 до 2.12.5 (libxml2)

до 11.0.24.0.1 (Axiom AxiomJDK)

до 17.0.12.0.1 (Axiom AxiomJDK)

до 21.0.4.0.1 (Axiom AxiomJDK)

3.0 (ROSA Virtualization 3.0)

до 5.1.4 включительно (ОС Аврора)

до 2.14 (ОСОН ОСнова Оnyx)

до 3.1 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

ООО "Открытая мобильная платформа" ОС Аврора до 5.1.4 включительно

АО «НППКТ» ОСОН ОСнова Оnyx до 2.14

АО «НППКТ» ОСОН ОСнова Оnyx до 3.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Libxml2:

https://gitlab.gnome.org/GNOME/libxml2/-/issues/604

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет libxml2 до 2.9.4+dfsg1-7+deb10u6+ci202406211629+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 1.6 «Смоленск»::

обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u7+ci202405141740+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

Для ОС Astra Linux:

Для AxiomJDK:

https://axiomjdk.ru/pages/downloads/

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2624

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2751

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Аврора: https://cve.omp.ru/bb27514

Обновление программного обеспечения libxml2 до версии 2.9.10+dfsg-6.7+deb11u8.osnova2u1

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения libxml2 до версии 2.9.14+dfsg-1.3~deb12u4

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-3097

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-3073

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-25062
CVE

EPSS

Процентиль: 69%

0.01364

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240410-16

CVSS3: 7.5

redos

больше 2 лет назад

Уязвимость libxml2

CVE-2024-25062

CVSS3: 7.5

ubuntu

больше 2 лет назад

An issue was discovered in libxml2 before 2.11.7 and 2.12.x before 2.12.5. When using the XML Reader interface with DTD validation and XInclude expansion enabled, processing crafted XML documents can lead to an xmlValidatePopElement use-after-free.

CVE-2024-25062

CVSS3: 7.5

redhat

больше 2 лет назад

CVE-2024-25062

CVSS3: 7.5

nvd

больше 2 лет назад

CVE-2024-25062

CVSS3: 7.5

msrc

почти 2 года назад

Описание отсутствует

EPSS

Процентиль: 69%

0.01364

Низкий

7.5 High

CVSS3

7.8 High

CVSS2