Описание
Уязвимость модуля языка С для подписи и шифрования объектов JSON latchset Jose связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании
Вендор
Red Hat Inc.
Сообщество свободного программного обеспечения
Fedora Project
АО «НТЦ ИТ РОСА»
АО «ИВК»
ООО «РусБИТех-Астра»
Наименование ПО
Red Hat Enterprise Linux
Debian GNU/Linux
Red Hat Advanced Cluster Management for Kubernetes
Fedora
ROSA Virtualization
РОСА ХРОМ
АЛЬТ СП 10
latchset Jose
Astra Linux Special Edition
ROSA Virtualization 3.0
Версия ПО
8 (Red Hat Enterprise Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
2 (Red Hat Advanced Cluster Management for Kubernetes)
9 (Red Hat Enterprise Linux)
38 (Fedora)
39 (Fedora)
2.1 (ROSA Virtualization)
12.4 (РОСА ХРОМ)
- (АЛЬТ СП 10)
40 (Fedora)
11 (latchset Jose)
12 (latchset Jose)
1.8 (Astra Linux Special Edition)
3.0 (ROSA Virtualization 3.0)
Тип ПО
Операционная система
Сетевое средство
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Red Hat Inc. Red Hat Enterprise Linux 9
Fedora Project Fedora 38
Fedora Project Fedora 39
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «ИВК» АЛЬТ СП 10 -
Fedora Project Fedora 40
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)
Возможные меры по устранению уязвимости
Компенсирующие меры:
- ограничить размер параметрп p2c в JWE;
- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;
- ограничение доступа из общедоступных сетей (Интернет);
- использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
Для JSON latchset Jose:
https://github.com/latchset/jose/commit/4ee7708bf6dbfaa712749f081eec1f0d122fa001
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-50967
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2023-50967
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/CIFPQUCLNWEAHYYJWCQD3AZPWYIV6YT3/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/OOBFVMOAV732C7PY74AHJ62ZNKT3ISZ6/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/W7EGLOAFN2PWZ75ZRLTUDUZCIPH2VFZU/
Для ОС Astra Linux:
обновить пакет jose до 11-2+deb12u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2953
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2888
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2878
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2953
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 48%
0.00248
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
ubuntu
больше 1 года назад
latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.
CVSS3: 7.5
redhat
больше 1 года назад
latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.
CVSS3: 7.5
nvd
больше 1 года назад
latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.
CVSS3: 7.5
msrc
3 месяца назад
latchset jose through version 11 allows attackers to cause a denial of service (CPU consumption) via a large p2c (aka PBES2 Count) value.
CVSS3: 7.5
debian
больше 1 года назад
latchset jose through version 11 allows attackers to cause a denial of ...
EPSS
Процентиль: 48%
0.00248
Низкий
7.5 High
CVSS3
7.8 High
CVSS2