BDU:2022-01063

Уязвимость компонента xmltok_impl.c библиотеки Expat, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-03-04

Описание

Уязвимость компонента xmltok_impl.c библиотеки Expat связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью отправки специально сформированного запроса

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Fedora (34)Fedora (35)РЕД ОС (7.3)Astra Linux Special Edition (1.7)ОС ТД АИС ФССП России (ИК6)Expat (до 2.4.5)Альт 8 СПIBM PureData System for Operational Analytics (1.1)IBM QRadar SIEM (от 7.3 до 7.3.3 Fix Pack 12)IBM QRadar SIEM (от 7.4 до 7.4.3 Fix Pack 6)IBM QRadar SIEM (от 7.5 до 7.5.0 Update Pack 2)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.4.3)ROSA Virtualization (2.1)АЛЬТ СП 10ОС ОН «Стрелец» (до 16.01.2023)ОС Аврора (до 5.1.4 включительно)

Способ устранения

Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для библиотеки Expat:
Обновление программного обеспечения до актуальной версии

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3UFRBA3UQVIQKXTBUQXDWQOVWNBKLERU/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Y27XO3JMKAOMQZVPS3B4MJGEAHCZF5OM/

Для ОС ТД АИС ФССП России:
http://repo.red-soft.ru/goslinux/7/ic6/os/x86_105

Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6614725
https://www.ibm.com/support/pages/node/6611649

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения expat до версии 2.2.6-2+deb10u3

Для Astra Linux Special Edition 4.7 (для архитектуры ARM):
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет expat до 2.2.0-2+deb9u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения expat до версии 2.2.0-2+deb9u5

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2777

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2840

Для ОС Аврора: https://cve.omp.ru/bb27514

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://redos.red-soft.ru/support/secure/https://www.cybersecurity-help.cz/vdb/SB2022022109 http://www.openwall.com/lists/oss-security/2022/02/19/1 https://github.com/libexpat/libexpat/pull/562 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3UFRBA3UQVIQKXTBUQXDWQOVWNBKLERU/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/Y27XO3JMKAOMQZVPS3B4MJGEAHCZF5OM/https://security.netapp.com/advisory/ntap-20220303-0008/https://www.debian.org/security/2022/dsa-5085

Проверьте безопасность своего сайта и почты → Полная проверка домена