BDU:2025-10853

Опубликовано: 23 мая 2025

Источник: fstec

CVSS3: 5.5

CVSS2: 4.6

EPSS Низкий

Описание

Уязвимость функции cJSON_ParseWithLength парсера cJSON связана с чтением вне границ памяти. Эксплуатация уязвимости может позволить нарушителю получить доступ к конфиденциальной информации

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО "НППКТ"

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

cJSON

ОСОН ОСнова Оnyx

Версия ПО

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

1.8 (Astra Linux Special Edition)

до 1.7.18 (cJSON)

13 (Debian GNU/Linux)

до 3.1 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Сообщество свободного программного обеспечения Debian GNU/Linux 13

АО "НППКТ" ОСОН ОСнова Оnyx до 3.1

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,6)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной

настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России,

утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для cJSON:

https://github.com/DaveGamble/cJSON/compare/v1.7.17...v1.7.18

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-53154

Для ОС Astra Linux:

обновить пакет cjson до 1.7.14-1.astra2+deb11u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17

Для ОС Astra Linux:

обновить пакет cjson до 1.7.15-1.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения cjson до версии 1.7.15-1+deb12u4

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-53154
CVE

EPSS

Процентиль: 25%

0.00089

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2

Связанные уязвимости

ROS-20250821-07

CVSS3: 5.5

redos

8 месяцев назад

Уязвимость cjson

CVE-2023-53154

CVSS3: 2.9

ubuntu

10 месяцев назад

parse_string in cJSON before 1.7.18 has a heap-based buffer over-read via {"1":1, with no trailing newline if cJSON_ParseWithLength is called.

CVE-2023-53154

CVSS3: 5.1

redhat

11 месяцев назад

parse_string in cJSON before 1.7.18 has a heap-based buffer over-read via {"1":1, with no trailing newline if cJSON_ParseWithLength is called.

CVE-2023-53154

CVSS3: 2.9

nvd

10 месяцев назад

parse_string in cJSON before 1.7.18 has a heap-based buffer over-read via {"1":1, with no trailing newline if cJSON_ParseWithLength is called.

CVE-2023-53154

CVSS3: 2.9

msrc

7 месяцев назад

parse_string in cJSON before 1.7.18 has a heap-based buffer over-read via {"1":1, with no trailing newline if cJSON_ParseWithLength is called.

EPSS

Процентиль: 25%

0.00089

Низкий

5.5 Medium

CVSS3

4.6 Medium

CVSS2