BDU:2025-10930

Опубликовано: 20 мая 2025

Источник: fstec

CVSS3: 5.1

CVSS2: 4

EPSS Низкий

Описание

Уязвимость функции bytes.decode() интерпретатора языка программирования Python (CPython) связана с использованием памяти после её освобождения. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на доступность защищаемой информации

Вендор

Red Hat Inc.

ООО «РусБИТех-Астра»

Canonical Ltd.

Python Software Foundation

АО «СберТех»

ООО «Ред Софт»

Наименование ПО

Red Hat Enterprise Linux

Astra Linux Special Edition

Ubuntu

CPython

Platform V SberLinux OS Server

РЕД ОС

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

10 (Red Hat Enterprise Linux)

3.13 (CPython)

9.1 (Platform V SberLinux OS Server)

3.10 (CPython)

3.12 (CPython)

3.14 (CPython)

3.9.21 (CPython)

3.11.9 (CPython)

8.0 (РЕД ОС)

9.1.1-fstec (Platform V SberLinux OS Server)

3.8 (Astra Linux Special Edition)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Red Hat Inc. Red Hat Enterprise Linux 10

АО «СберТех» Platform V SberLinux OS Server 9.1

ООО «Ред Софт» РЕД ОС 8.0

АО «СберТех» Platform V SberLinux OS Server 9.1.1-fstec

ООО «РусБИТех-Астра» Astra Linux Special Edition 3.8

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,1)

Средний уровень опасности (оценка CVSS 4.0 составляет 5,9)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:

https://github.com/python/cpython/commit/4398b788ffc1f954a2c552da285477d42a571292

https://github.com/python/cpython/commit/6279eb8c076d89d3739a6edb393e43c7929b429d

https://github.com/python/cpython/commit/69b4387f78f413e8c47572a85b3478c47eba8142

https://github.com/python/cpython/commit/73b3040f592436385007918887b7e2132aa8431f

https://github.com/python/cpython/commit/8d35fd1b34935221aff23a1ab69a429dd156be77

https://github.com/python/cpython/commit/9f69a58623bd01349a18ba0c7a9cb1dad6a51e8e

https://github.com/python/cpython/commit/ab9893c40609935e0d40a6d2a7307ea51aec598b

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-4516

Для программных продуктов Ubuntu:

https://ubuntu.com/security/CVE-2025-4516

Для Ред ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti-red-os-8-0/uyazvimost-python3-9-cve-2025-4516-8.0/?sphrase_id=1455079

Компенсирующие меры:

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей;

- контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.

Для ОС Astra Linux:

обновить пакет python3.7 до 3.7.3-2+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Для ОС Astra Linux:

обновить пакет python3.7 до 3.7.3-2+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Для ОС Astra Linux:

обновить пакет python3.11 до 3.11.2-6+deb12u6astra2+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18

Для ОС Astra Linux:

обновить пакет python3.11 до 3.11.2-6+deb12u6.astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38

Для ОС Astra Linux:

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-4516
CVE

EPSS

Процентиль: 43%

0.00209

Низкий

5.1 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

ROS-20260209-73-0008

CVSS3: 5.1

redos

около 2 месяцев назад

Уязвимость python3.13

ROS-20260209-73-0007

CVSS3: 5.1

redos

около 2 месяцев назад

Уязвимость python3.12

ROS-20260209-73-0006

CVSS3: 5.1

redos

около 2 месяцев назад

Уязвимость python3.11

ROS-20260209-73-0005

CVSS3: 5.1

redos

около 2 месяцев назад

Уязвимость python3.10

CVE-2025-4516

ubuntu

10 месяцев назад

There is an issue in CPython when using `bytes.decode("unicode_escape", error="ignore|replace")`. If you are not using the "unicode_escape" encoding or an error handler your usage is not affected. To work-around this issue you may stop using the error= handler and instead wrap the bytes.decode() call in a try-except catching the DecodeError.

EPSS

Процентиль: 43%

0.00209

Низкий

5.1 Medium

CVSS3

4 Medium

CVSS2