ROS-20251117-05

Опубликовано: 17 нояб. 2025

Источник: redos

Описание

Множественные уязвимости dqlite

Наименование уязвимого пакета

dqlite

Пакет обновления

dqlite-0:1.18.2-1.el7.x86_64

Версия уязвимого пакета младше

1.18.2-1

Возможные меры по устранению уязвимости

Запретить использование в ОС пакета dqlite или Установить обновление для пакета(ов) dqlite

Версия ОС

7.3

Архитектура ОС

x86_64

Дата публикации бюллетеня

17.11.2025

CVE-2025-54286

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с недостаточной проверкой источника HTTP-запроса при использовании аутентификации клиентского сертификата с LXD-UI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять атаки с подделкой межсайтовых запросов

8.8 High

CVSS3

10 Critical

CVSS2

CVE-2025-54287

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с некорректной проверкой входных данных при создании снимков шаблонизатора Pongo2 в LXD-UI. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, читать произвольные файлы в системе

6.5 Medium

CVSS3

6.8 Medium

CVSS2

CVE-2025-54288

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с тем, что процесс идентификации исходного контейнера на сервере devLXD использует информацию из командной строки процесса при отображении имён процессов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить атаку методом подмены

6.5 Medium

CVSS3

6.8 Medium

CVSS2

CVE-2025-54289

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с избыточным выводом данных API. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к потенциально конфиденциальной информации

8.1 High

CVSS3

8.5 High

CVSS2

CVE-2025-54290

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с тем, что API экспорта изображений возвращает разные сообщения об ошибках в зависимости от наличия проекта. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к потенциально конфиденциальной информации

5.3 Medium

CVSS3

5 Medium

CVSS2

CVE-2025-54291

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с раскрытием информации в API изображений. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к потенциально конфиденциальной информации

5.3 Medium

CVSS3

5 Medium

CVSS2

CVE-2025-54292

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с неправильным ограничением пути к ограниченному каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к потенциально конфиденциальной информации

5.3 Medium

CVSS3

5 Medium

CVSS2

CVE-2025-54293

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с ошибкой проверкой входных данных при обработке последовательностей обхода каталогов в функции validLogFileName() в lxd/instance_logs.go. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять атаки с обходом каталогов

6.5 Medium

CVSS3

6.8 Medium

CVSS2

CVE-2024-6156

Идентификатор БДУ ФСТЭК России:

Отсутствует

Описание уязвимости:

Уязвимость системы управления контейнерами и легкими виртуальными машинами LXD связана с тем, можно обойти режим PKI, если сертификат клиента присутствовал в хранилище доверенных сертификатов. Эксплуатация уязвимости может позволить нарушителю скомпрометировать целевую систему

3.8 Low

CVSS3

1.7 Low

CVSS2