BDU:2025-08472
Novell Inc., ООО «Ред Софт», Red Hat Inc., АО «ИВК», Сообщество свободного программного обеспечения, SUSE Manager Retail Branch Server, АЛЬТ СП 10, Debian GNU/Linux, SUSE Manager Server, Fedora, SUSE P
2025-03-21
Уязвимость функции parse.ParseUnverified() библиотеки для работы с веб-токенами golang-jwt языка программирования Go связана с неконтролируемым потреблением ресурсов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, раскрыть защищаемую информацию
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций производителя:
Для Go:
https://github.com/golang-jwt/jwt/security/advisories/GHSA-mh63-6h87-95cp
https://github.com/golang-jwt/jwt/commit/0951d184286dece21f73c85673fd308786ffe9c3
https://github.com/golang-jwt/jwt/commit/bf316c48137a1212f8d0af9288cc9ce8e59f1afb
Для РЕД ОС: https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-consul-cve-2025-22872-cve-2025-22870-cve-2025-30204/?sphrase_id=1075852 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Аврора Центр: Обновить ППО ""Аврора Центр"" до версии 5.3.0 или выше. В случае невозможности обновления использовать СЗИ нейтрализующие угрозы атак типа ""отказ в обслуживании"" (межсетевые экраны веб-приложений, системы обнаружения вторжений)
Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2025-30204
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2025-30204
Для Fedora: https://bodhi.fedoraproject.org/updates/FEDORA-2025-5fce1e4f70 https://bodhi.fedoraproject.org/updates/FEDORA-2025-e4d441a4dd https://bodhi.fedoraproject.org/updates/FEDORA-2025-6241ca1662
Для Fedora EPEL: https://bodhi.fedoraproject.org/updates/FEDORA-EPEL-2025-ab0fae74f1
Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2025-30204.html
Для ПК «ALD Pro»: обновление программного обеспечения, применение оперативного обновления ПК «ALD Pro» 2.4.2, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)