BDU:2025-10931
Unicode Consortium, АО «АЛТЭКС-СОФТ», ООО «Ред Софт», Canonical Ltd., Red Hat Inc., ООО «НЦПР», Сооб ICU, Red Hat Enterprise Linux, Astra Linux Common Edition, Platform V SberLinux OS Server, Astra Lin
2025-07-10
Уязвимость функции SRBRoot::addTag() библиотеки для работы с Unicode (ICU) связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить нарушителю выполнить произвольный код и вызвать отказ в обслуживании
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Использование рекомендаций производителя: https://lists.debian.org/debian-lts-announce/2025/06/msg00015.html
Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2025-5222
Для программных продуктов Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2025-5222
Для программных продуктов Ubuntu: https://ubuntu.com/security/CVE-2025-5222
Компенсирующие меры: - минимизация пользовательских привилегий; - отключение/удаление неиспользуемых учётных записей пользователей; - контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.
Для ОС Astra Linux: обновить пакет icu до 72.1-3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
Для ОС Astra Linux: обновить пакет icu до 63.1-6+deb10u3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux: обновить пакет icu до 63.1-6+deb10u3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:12083?lang=ru
Для ОС Astra Linux: обновить пакет icu до 57.1-6+deb9u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16
Для RedCheck:
Обновление программного обеспечения RedСheck до версии 2.9.1 или более старше для Linux.