BDU:2022-01453 (CVE-2022-23308) — уязвимость файла valid.c библиотеки анализа XML-документов libxml2
По данным БДУ ФСТЭК России, по состоянию на 01.06.2026.
Критический — 9.8/10 Существует эксплойт Устранена
Уязвимость файла valid.c библиотеки анализа XML-документов libxml2 связана с использованием памяти после освобождения. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью отправки специально созданного XML файла
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7; Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — версии 8.1 «Ленинград»; РЕД ОС (ООО «Ред Софт») — версии 7.3; и ещё 8 позиций
- Что делать: уязвимость устранена производителем — применить исправления: repo.red-soft.ru, goslinux.fssp.gov.ru, github.com
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2022-01453 · CVE-2022-23308 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость файла valid.c библиотеки анализа XML-документов libxml2, связанная с использованием памяти после освобождения, позволяющая нарушителю выполнить произвольный код |
| Даты | Опубликована: 25.03.2022 · Обновлена ФСТЭК: 01.06.2026 · Выявлена: 19.02.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-416 — использование после освобождения |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: анализ целевого объекта |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7 · операционная система
- Astra Linux Special Edition для «Эльбрус» (ООО «РусБИТех-Астра») — 8.1 «Ленинград» · операционная система
- РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
- ОС ТД АИС ФССП России (ФССП России) — ИК6 · операционная система
- Альт 8 СП (АО «ИВК») — операционная система
- libxml2 (Сообщество свободного программного обеспечения) — до 2.9.13 · прикладное ПО информационных систем
- ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.5 · операционная система
- ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
- ROSA Virtualization 3.0 (АО «НТЦ ИТ РОСА») — 3.0 · ПО виртуализации/ПО виртуального программно-аппаратного средства
- ОС Аврора (ООО «Открытая мобильная платформа») — до 5.1.4 включительно · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
- Для ОС ТД АИС ФССП России: goslinux.fssp.gov.ru/2726972/
- Для libxml2: github.com/GNOME/libxml2/commit/652dd12a858989b14eed4e84e…
- Для ОС Astra Linux: использование рекомендаций производителя; wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17; wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
- Для ОСОН Основа: Обновление программного обеспечения libxml2 до версии 2.9.4+dfsg1-7+deb10u4
- Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
- Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
- Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»: обновить пакет libxml2 до 2.9.4+dfsg1-2.2+deb9u7+ci202211281307+astra1 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
- Для ОС ОН «Стрелец»: Обновление программного обеспечения libxml2 до версии 2.9.4+dfsg1-2.2+deb9u7; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosalinux.ru/advisories/ROSA-SA-2024-2356
- Для ОС Аврора: cve.omp.ru/bb27514; Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: abf.rosa.ru/advisories/ROSA-SA-2025-3073
Источники
- redos.red-soft.ru/support/secure/
- goslinux.fssp.gov.ru/2726972/
- repo.red-soft.ru/redos/7.3c/x86_64/updates/
- nvd.nist.gov/vuln/detail/CVE-2022-23308
- github.com/GNOME/libxml2/commit/652dd12a858989b14eed4e84e…
- wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
- wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
- поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.5/
- altsp.su/obnovleniya-bezopasnosti/
- wiki.astralinux.ru/astra-linux-se16-bulletin-20221220SE16
