ГлавнаяБаза уязвимостей БДУ → BDU:2023-03875
7.2высокая

BDU:2023-03875 (CVE-2023-32700)

Уязвимость функции io.popen() компонента luatex-core.lua систем компьютерной верстки LuaTeX, TeX Live и MiKTeX, позволяющая нарушителю выполнить произвольные команды
Опубликовано: 2023-07-20
Описание

Уязвимость функции io.popen() компонента luatex-core.lua систем компьютерной верстки LuaTeX, TeX Live и MiKTeX связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости позволяет нарушителю выполнить произвольные команды

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (7)Red Hat Enterprise Linux (8)Debian GNU/Linux (10)Debian GNU/Linux (11)Debian GNU/Linux (12)Red Hat Enterprise Linux (8.1 Update Services for SAP Solutions)Astra Linux Special Edition (1.7)Red Hat Enterprise Linux (9)Astra Linux Special Edition (4.7)Red Hat Enterprise Linux (8.2 Telecommunications Update Service)Red Hat Enterprise Linux (8.2 Update Services for SAP Solutions)Red Hat Enterprise Linux (8.6 Extended Update Support)Red Hat Enterprise Linux (9.0 Extended Update Support)Red Hat Enterprise Linux (8.2 Advanced Update Support)Red Hat Enterprise Linux (8.4 Telecommunications Update Service)Red Hat Enterprise Linux (8.4 Update Services for SAP Solutions)Red Hat Enterprise Linux (8.4 Advanced Mission Critical Update Support)TeX Live (от 2017 до 2023)LuaTeX (от 1.04 до 1.16.2)MiKTeX (до 23.5)ОСОН ОСнова Оnyx (до 2.8)МСВСфера (9.5)
Способ устранения

Использование рекомендаций:
Для TeX Live:
https://tug.org/~mseven/luatex.html
https://tug.org/texlive/bugs.html
https://github.com/TeX-Live/texlive-source/releases/tag/build-svn66984

Для LuaTeX:
https://gitlab.lisn.upsaclay.fr/texlive/luatex/-/commit/b8b71a256664d17a8b6c81481a835813c61aa661
https://gitlab.lisn.upsaclay.fr/texlive/luatex/-/commit/5650c067de62cb7d4aaca44f30c8e9115c51bfc6

Для MiKTeX:
https://tug.org/~mseven/luatex.html
https://github.com/MiKTeX/miktex/releases/tag/23.5

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2023-32700

Для ОС Astra Linux:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RLY43MIRONJSJVNBDFQHQ26MP3JIOB3H/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TF6YXUUFRGBIXIIIEV5SGBJXXT2SMUK5/

Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-32700

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения texlive-bin до версии 2018.20181218.49446-1+deb10u2

Для ОС Astra Linux Special Edition для архитектуры ARM 4.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2023:3661?lang=ru

Оценка CVSS
Балл7.2 — высокая опасность
Источники и патчи
https://github.com/TeX-Live/texlive-source/releases/tag/build-svn66984https://gitlab.lisn.upsaclay.fr/texlive/luatex/-/commit/5650c067de62cb7d4aaca44f30c8e9115c51bfc6https://gitlab.lisn.upsaclay.fr/texlive/luatex/-/commit/b8b71a256664d17a8b6c81481a835813c61aa661https://gitlab.lisn.upsaclay.fr/texlive/luatex/-/tags/1.17.0https://nvd.nist.gov/vuln/detail/CVE-2023-32700https://security-tracker.debian.org/tracker/CVE-2023-32700https://tug.org/~mseven/luatex.htmlhttps://tug.org/pipermail/tex-live/2023-May/049188.html
Проверьте безопасность своего сайта и почты → Полная проверка домена