BDU:2025-04879

Опубликовано: 14 мар. 2025

Источник: fstec

CVSS3: 8.2

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость библиотеки для обработки HTTP-запросов HTTP_Request2 VPN-клиента Tunnelblick связана с раскрытием информации через каталог тестов tests/_network/getparameters.php и tests/_network/postparameters.php. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести атаку межсайтового скриптинга (XSS) и повысить свои привилегия до уровня root

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Tunnelblick

HTTP_Request2

Версия ПО

от 3.5beta06 до 6.1beta2 включительно (Tunnelblick)

до 2.7.0 (HTTP_Request2)

Тип ПО

Сетевое средство

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,2)

Высокий уровень опасности (оценка CVSS 4.0 составляет 7)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

Для Tunnelblick:

https://tunnelblick.net/cCVE-2025-43711.html

Для HTTP_Request2:

https://github.com/advisories/GHSA-w7gh-f2fm-9q8r

https://github.com/pear/HTTP_Request2/blob/b1c61b71128045734d757c4d3d436457ace80ea7/package.xml#L24

https://github.com/pear/HTTP_Request2/commit/07925aa77e441dba0ff0fa973a09802729cb838f

https://github.com/pear/HTTP_Request2/commit/265e05f9e08a28a38a57219516a8e4e2dfdbb147

https://github.com/pear/HTTP_Request2/compare/v2.6.0...v2.7.0

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 4%

0.00018

Низкий

8.2 High

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVE-2025-43711

CVSS3: 8.1

nvd

7 месяцев назад

Tunnelblick 3.5beta06 before 7.0, when incompletely uninstalled, allows attackers to execute arbitrary code as root (upon the next boot) by dragging a crafted Tunnelblick.app file into /Applications.

GHSA-6q72-3gw7-q23c