BDU:2025-03138
АО "НППКТ", ООО «Ред Софт», АО "РАСУ", Red Hat Inc., АО «ИВК», Сообщество свободного программного об Astra Linux Common Edition, libxml2, JBoss Core Services, Альт 8 СП, АЛЬТ СП 10, Astra Linux Special
2025-02-13
Уязвимость функции xmlPatMatch() в файле pattern.c библиотеки libxml2 связана с разыменованием нулевого указателя. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций производителя: https://gitlab.gnome.org/GNOME/libxml2/-/issues/861
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/DLA-4064-1 https://security-tracker.debian.org/tracker/CVE-2025-27113
Для Ubuntu: https://ubuntu.com/security/CVE-2025-27113
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2025-27113
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры: - использование антивирусного программного обеспечения для предотвращения попыток эксплуатации уязвимости; - использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников; - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей.
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2919
Для ОС Astra Linux: обновить пакет libxml2 до 2.9.14+dfsg-1.3~deb12u1.astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2962
Обновление программного обеспечения libxml2 до версии 2.9.10+dfsg-6.7+deb11u8.osnova2u1
Для ОС Astra Linux: обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u14 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16