Описание
Уязвимость функции gzip_do_write() библиотеки сжатия zlib утилиты командной строки cURL связана с целочисленным переполнением. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти механизм защиты ASLR, выполнить произвольный код или вызвать отказ в обслуживании
Вендор
ООО «Ред Софт»
АО «ИВК»
АО «НТЦ ИТ РОСА»
ООО «Юбитех»
Жан-Лу Гайи, Марк Адлер
Daniel Stenberg
Наименование ПО
РЕД ОС
Альт 8 СП
РОСА ХРОМ
UBLinux
zlib
cURL
Версия ПО
7.3 (РЕД ОС)
- (Альт 8 СП)
12.4 (РОСА ХРОМ)
до 2405 (UBLinux)
до 1.2.0.4 (zlib)
от 7.10.5 до 8.11.1 включительно (cURL)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «Ред Софт» РЕД ОС 7.3
АО «ИВК» Альт 8 СП -
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
ООО «Юбитех» UBLinux до 2405
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,3)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для zlib:
https://zlib.net/
Для cURL:
https://curl.se/docs/CVE-2025-0725.html
https://github.com/curl/curl/commit/76f83f0db23846e254d940ec7
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-curl-cve-2025-0665-cve-2025-0725/?sphrase_id=756677
Для UBLinux:
https://security.ublinux.ru/CVE-2025-0725
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2945
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства:https://altsp.su/obnovleniya-bezopasnosti/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2945
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 79%
0.01801
Низкий
7.3 High
CVSS3
7.5 High
CVSS2
Связанные уязвимости
CVSS3: 9.8
altlinux
больше 1 года назад
ALT-PU-2025-2652: package `curl` update to version 8.12.0-alt1
CVSS3: 9.8
altlinux
больше 1 года назад
ALT-PU-2025-2425: package `curl` update to version 8.12.0-alt1
CVSS3: 7.3
ubuntu
почти 2 года назад
When libcurl is asked to perform automatic gzip decompression of content-encoded HTTP responses with the `CURLOPT_ACCEPT_ENCODING` option, **using zlib 1.2.0.3 or older**, an attacker-controlled integer overflow would make libcurl perform a buffer overflow.
EPSS
Процентиль: 79%
0.01801
Низкий
7.3 High
CVSS3
7.5 High
CVSS2