Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2025-04723

Опубликовано: 15 апр. 2025
Источник: fstec
CVSS3: 9
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость функции soup_message_headers_get_content_disposition() библиотеки libsoup графического интерфейса GNOME связана с освобождением ранее не распределявшейся памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированного POST-запроса

Вендор

ООО «Ред Софт»
АО «НТЦ ИТ РОСА»
ООО «РусБИТех-Астра»
GNOME Foundation
АО «СберТех»

Наименование ПО

РЕД ОС
ROSA Virtualization
Astra Linux Special Edition
ROSA Virtualization 3.0
libsoup
Platform V SberLinux OS Server

Версия ПО

7.3 (РЕД ОС)
2.1 (ROSA Virtualization)
1.8 (Astra Linux Special Edition)
3.0 (ROSA Virtualization 3.0)
до 3.6.3 (libsoup)
9.1 (Platform V SberLinux OS Server)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0
АО «СберТех» Platform V SberLinux OS Server 9.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование «белого» списка IP-адресов для ограничения возможности эксплуатации уязвимости;
- использование межсетевого экрана уровня приложений (WAF) для фильтрации сетевого трафика.
Использование рекомендаций:
Для GNOME Foundation:
https://www.openwall.com/lists/oss-security/2025/04/18/4
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-libsoup/?sphrase_id=957295
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2891
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2881
Для ОС Astra Linux:
- обновить пакет libsoup3 до 3.2.2-2.astra7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
- обновить пакет libsoup2.4 до 2.74.3-1+deb12u1.astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

EPSS

Процентиль: 20%
0.00062
Низкий

9 Critical

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.4
redos
5 месяцев назад

Множественные уязвимости libsoup

CVSS3: 9
ubuntu
5 месяцев назад

A use-after-free type vulnerability was found in libsoup, in the soup_message_headers_get_content_disposition() function. This flaw allows a malicious HTTP client to cause memory corruption in the libsoup server.

CVSS3: 9
redhat
5 месяцев назад

A use-after-free type vulnerability was found in libsoup, in the soup_message_headers_get_content_disposition() function. This flaw allows a malicious HTTP client to cause memory corruption in the libsoup server.

CVSS3: 9
nvd
5 месяцев назад

A use-after-free type vulnerability was found in libsoup, in the soup_message_headers_get_content_disposition() function. This flaw allows a malicious HTTP client to cause memory corruption in the libsoup server.

CVSS3: 9
debian
5 месяцев назад

A use-after-free type vulnerability was found in libsoup, in the soup_ ...

EPSS

Процентиль: 20%
0.00062
Низкий

9 Critical

CVSS3

7.6 High

CVSS2