BDU:2025-03964

Опубликовано: 18 авг. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость инструмента командной строки библиотеки для сжатия данных Zstandard связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

АО «ИВК»

Meta Platforms, Inc.

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Альт 8 СП

АЛЬТ СП 10

Zstandard

Версия ПО

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

- (Альт 8 СП)

- (АЛЬТ СП 10)

от 1.4.7 до 1.5.4 (Zstandard)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «ИВК» Альт 8 СП -

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Zstandard:

https://github.com/facebook/zstd/pull/3220

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-4899

Для ОС Astra Linux:

обновить пакет libzstd до 1.5.2+dfsg-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет libzstd до 1.5.2+dfsg-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-4899
CVE

EPSS

Процентиль: 43%

0.00205

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2022-4899

CVSS3: 7.5

ubuntu

около 2 лет назад

A vulnerability was found in zstd v1.4.10, where an attacker can supply empty string as an argument to the command line tool to cause buffer overrun.

CVE-2022-4899

CVSS3: 7.5

redhat

почти 3 года назад

A vulnerability was found in zstd v1.4.10, where an attacker can supply empty string as an argument to the command line tool to cause buffer overrun.

CVE-2022-4899

CVSS3: 7.5

nvd

около 2 лет назад

A vulnerability was found in zstd v1.4.10, where an attacker can supply empty string as an argument to the command line tool to cause buffer overrun.

CVE-2022-4899

CVSS3: 7.5

msrc

около 2 лет назад

Описание отсутствует

CVE-2022-4899

CVSS3: 7.5

debian

около 2 лет назад

A vulnerability was found in zstd v1.4.10, where an attacker can suppl ...

EPSS

Процентиль: 43%

0.00205

Низкий

7.5 High

CVSS3

7.8 High

CVSS2