BDU:2025-07453

Опубликовано: 23 июн. 2025

Источник: fstec

CVSS3: 10

CVSS2: 10

EPSS Низкий

Описание

Уязвимость библиотеки pbkdf2 программной платформы Node.js связана с недостатками механизма проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подделать цифровую подпись путем отправки специально сформированных пакетов

Вендор

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС

pbkdf2

Версия ПО

7.3 (РЕД ОС)

от 3.0.10 до 3.1.2 включительно (pbkdf2)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 10)

Критический уровень опасности (оценка CVSS 4.0 составляет 9,5)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к уязвимому программному обеспечению;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа к уязвимому программному обеспечению из внешних сетей (Интернет).

Использование рекомендаций:

Для Node.js:

https://github.com/browserify/pbkdf2/commit/9699045c37a07f8319cfb8d44e2ff4252d7a7078

https://github.com/browserify/pbkdf2/commit/e3102a8cd4830a3ac85cd0dd011cc002fdde33bb

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 28%

0.00099

Низкий

10 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20250827-06

CVSS3: 10

redos

4 месяца назад

Множественные уязвимости nodejs-webpack

CVE-2025-6545

ubuntu

6 месяцев назад

Improper Input Validation vulnerability in pbkdf2 allows Signature Spoofing by Improper Validation. This vulnerability is associated with program files lib/to-buffer.Js. This issue affects pbkdf2: from 3.0.10 through 3.1.2.

CVE-2025-6545

CVSS3: 8.1

redhat

6 месяцев назад

CVE-2025-6545

nvd

6 месяцев назад

CVE-2025-6545

debian

6 месяцев назад

Improper Input Validation vulnerability in pbkdf2 allows Signature Spo ...

EPSS

Процентиль: 28%

0.00099

Низкий

10 Critical

CVSS3

10 Critical

CVSS2