BDU:2025-11075

Опубликовано: 10 июл. 2025

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость библиотеки безопасности транспортного уровня GnuTLS связана с ошибками процедуры подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к конфиденциальной информации

Вендор

Free Software Foundation, Inc.

Сообщество свободного программного обеспечения

Red Hat Inc.

Canonical Ltd.

ООО «РусБИТех-Астра»

АО «СберТех»

Наименование ПО

GnuTLS

Debian GNU/Linux

Red Hat OpenShift Container Platform

Ubuntu

Red Hat Enterprise Linux

Astra Linux Special Edition

Platform V SberLinux OS Server

Версия ПО

- (GnuTLS)

12 (Debian GNU/Linux)

4 (Red Hat OpenShift Container Platform)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

24.04 LTS (Ubuntu)

1.8 (Astra Linux Special Edition)

25.04 (Ubuntu)

10 (Red Hat Enterprise Linux)

9.1 (Platform V SberLinux OS Server)

Тип ПО

Программное средство защиты

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

Canonical Ltd. Ubuntu 24.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Canonical Ltd. Ubuntu 25.04

Red Hat Inc. Red Hat Enterprise Linux 10

АО «СберТех» Platform V SberLinux OS Server 9.1

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-32989

Для программных продуктов Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2025-32989

Для программных продуктов Ubuntu:

https://ubuntu.com/security/CVE-2025-32989

Компенсирующие меры:

- минимизация пользовательских привилегий;

- отключение/удаление неиспользуемых учётных записей пользователей;

- контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.

Для ОС Astra Linux:

обновить пакет gnutls28 до 3.7.9-2+deb12u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-32989
CVE

EPSS

Процентиль: 25%

0.00086

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2025-32989

CVSS3: 5.3

ubuntu

6 месяцев назад

A heap-buffer-overread vulnerability was found in GnuTLS in how it handles the Certificate Transparency (CT) Signed Certificate Timestamp (SCT) extension during X.509 certificate parsing. This flaw allows a malicious user to create a certificate containing a malformed SCT extension (OID 1.3.6.1.4.1.11129.2.4.2) that contains sensitive data. This issue leads to the exposure of confidential information when GnuTLS verifies certificates from certain websites when the certificate (SCT) is not checked correctly.

CVE-2025-32989

CVSS3: 5.3

redhat

6 месяцев назад

CVE-2025-32989

CVSS3: 5.3

nvd

6 месяцев назад

CVE-2025-32989

CVSS3: 5.3

msrc

5 месяцев назад

Gnutls: vulnerability in gnutls sct extension parsing

CVE-2025-32989

CVSS3: 5.3

debian

6 месяцев назад

A heap-buffer-overread vulnerability was found in GnuTLS in how it han ...

EPSS

Процентиль: 25%

0.00086

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2