BDU:2026-05074

Опубликовано: 05 нояб. 2025

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость функции lasso_node_impl_init_from_xml() библиотеки Lasso связана с ошибками смешения типов данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально сформированных SAML-пакетов

Вендор

Red Hat, Inc.

ООО «РусБИТех-Астра»

АО «СберТех»

Сообщество свободного программного обеспечения

Наименование ПО

Red Hat Enterprise Linux

Astra Linux Special Edition

Platform V SberLinux OS Server

Lasso

Версия ПО

8 (Red Hat Enterprise Linux)

1.7 (Astra Linux Special Edition)

9 (Red Hat Enterprise Linux)

8.2 Advanced Update Support (Red Hat Enterprise Linux)

8.4 Advanced Mission Critical Update Support (Red Hat Enterprise Linux)

9.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.6 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.6 Telecommunications Update Service (Red Hat Enterprise Linux)

8.6 Advanced Mission Critical Update Support (Red Hat Enterprise Linux)

7 Extended Lifecycle Support (Red Hat Enterprise Linux)

9.4 Extended Update Support (Red Hat Enterprise Linux)

8.8 Telecommunications Update Service (Red Hat Enterprise Linux)

8.8 Update Services for SAP Solutions (Red Hat Enterprise Linux)

9.2 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.4 Extended Update Support Long-Life Add-On (Red Hat Enterprise Linux)

9.6 Extended Update Support (Red Hat Enterprise Linux)

9.2.0-fstec (Platform V SberLinux OS Server)

2.7.0 (Lasso)

до 9.2.0-fstec (Platform V SberLinux OS Server)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat, Inc. Red Hat Enterprise Linux 8

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Red Hat, Inc. Red Hat Enterprise Linux 9

Red Hat, Inc. Red Hat Enterprise Linux 8.2 Advanced Update Support

Red Hat, Inc. Red Hat Enterprise Linux 8.4 Advanced Mission Critical Update Support

Red Hat, Inc. Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions

Red Hat, Inc. Red Hat Enterprise Linux 8.6 Update Services for SAP Solutions

Red Hat, Inc. Red Hat Enterprise Linux 8.6 Telecommunications Update Service

Red Hat, Inc. Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support

Red Hat, Inc. Red Hat Enterprise Linux 7 Extended Lifecycle Support

Red Hat, Inc. Red Hat Enterprise Linux 9.4 Extended Update Support

Red Hat, Inc. Red Hat Enterprise Linux 8.8 Telecommunications Update Service

Red Hat, Inc. Red Hat Enterprise Linux 8.8 Update Services for SAP Solutions

Red Hat, Inc. Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions

Red Hat, Inc. Red Hat Enterprise Linux 8.4 Extended Update Support Long-Life Add-On

Red Hat, Inc. Red Hat Enterprise Linux 9.6 Extended Update Support

АО «СберТех» Platform V SberLinux OS Server 9.2.0-fstec

АО «СберТех» Platform V SberLinux OS Server до 9.2.0-fstec

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

https://talosintelligence.com/vulnerability_reports/TALOS-2025-2193

Для Platform V SberLinux OS Server:

Обновление операционной системы до версии 9.2.2-fstec

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-47151

Для Platform V SberLinux OS Server:

Обновление операционной системы до версии 9.2.2-fstec или выше

Для ОС Astra Linux:

- обновить пакет poppler до 0.71.0-5+deb10u3.astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0820SE17

- обновить пакет poppler-22 до 22.12.0-2.astra5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0820SE17

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 66%

0.01093

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ALT-PU-2018-3695

CVSS3: 9.8

altlinux

около 8 лет назад

ALT-PU-2018-3695: package `lasso` update to version 2.6.0-alt1

CVE-2025-47151

CVSS3: 9.8

ubuntu

около 1 года назад

A type confusion vulnerability exists in the lasso_node_impl_init_from_xml functionality of Entr'ouvert Lasso 2.5.1 and 2.8.2. A specially crafted SAML response can lead to an arbitrary code execution. An attacker can send a malformed SAML response to trigger this vulnerability.

CVE-2025-47151

CVSS3: 9.8

redhat

около 1 года назад

CVE-2025-47151

CVSS3: 9.8

nvd

около 1 года назад

CVE-2025-47151

CVSS3: 9.8

debian

около 1 года назад

A type confusion vulnerability exists in the lasso_node_impl_init_from ...

EPSS

Процентиль: 66%

0.01093

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2