BDU:2025-11247 (CVE-2025-53367)

Уязвимость метода MMRDecoder::scanruns библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Опубликовано: 2025-09-17

Описание

Уязвимость метода MMRDecoder::scanruns библиотеки для просмотра, создания, редактирования DjVu-файлов DjVuLibre связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Затрагиваемое ПО и версии

Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Server for SAP Applications (12 SP5)SUSE Linux Enterprise Module for Desktop Applications (15 SP3)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)SUSE Linux Enterprise High Performance Computing (15 SP3)Suse Linux Enterprise Server (15 SP3)Suse Linux Enterprise Server (15 SP4)SUSE Manager Retail Branch Server (4.3)SUSE Manager Proxy (4.3)SUSE Manager Server (4.3)SUSE Linux Enterprise High Performance Computing (15 SP4)SUSE Linux Enterprise Module for Desktop Applications (15 SP4)Suse Linux Enterprise Server (15 SP3-LTSS)SUSE Linux Enterprise High Performance Computing (15 SP3-ESPOS)SUSE Linux Enterprise High Performance Computing (15 SP3-LTSS)Suse Linux Enterprise Server (15 SP5)SUSE Linux Enterprise High Performance Computing (15 SP5)Astra Linux Common Edition (1.6 «Смоленск»)SUSE Linux Enterprise Module for Desktop Applications (15 SP5)SUSE Linux Enterprise Module for Package Hub (15 SP5)SUSE Linux Enterprise High Performance Computing (15 SP4-LTSS)Suse Linux Enterprise Server (15 SP4-LTSS)Fedora (41)Suse Linux Enterprise Desktop (15 SP6)Suse Linux Enterprise Server (15 SP6)SUSE Linux Enterprise High Performance Computing (15 SP6)

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для DjVuLibre:
https://sourceforge.net/p/djvu/www-git/ci/9748b43794440aff40bae066132aa5c22e7fd6a3/

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-53367

Для Ubuntu:
https://ubuntu.com/security/CVE-2025-53367

Для Fedora:
https://bodhi.fedoraproject.org/updates/FEDORA-2025-0f35c5dbbb
https://bodhi.fedoraproject.org/updates/FEDORA-2025-e286662e59

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-53367.html

Для ОС Astra Linux:
обновить пакет djvulibre до 3.5.28-2.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18

Для ОС Astra Linux:
обновить пакет djvulibre до 3.5.27.1-10+deb10u1.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Обновление программного обеспечения djvulibre до версии 3.5.28-2.2~deb11u1

Для ОС Astra Linux:
обновить пакет djvulibre до 3.5.27.1-10+deb10u1.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Для ОС Astra Linux:
обновить пакет djvulibre до 3.5.27.1-7+deb9u2.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения djvulibre до версии 3.5.28-2.2~deb12u1

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://github.blog/security/vulnerability-research/cve-2025-53367-an-exploitable-out-of-bounds-write-in-djvulibre https://securitylab.github.com/advisories/GHSL-2025-055_DjVuLibre/https://sourceforge.net/p/djvu/djvulibre-git/ci/33f645196593d70bd5e37f55b63886c31c82c3da https://www.openwall.com/lists/oss-security/2025/07/03/1 https://sourceforge.net/p/djvu/www-git/ci/9748b43794440aff40bae066132aa5c22e7fd6a3/http://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://security-tracker.debian.org/tracker/CVE-2025-53367 https://ubuntu.com/security/CVE-2025-53367

Проверьте безопасность своего сайта и почты → Полная проверка домена