BDU:2022-06445 (CVE-2022-37454) — уязвимость криптографической хэш-функции SHA-3 программного пакета eXtended Keccak Code Package (XKCP)

По данным БДУ ФСТЭК России, по состоянию на 24.10.2025.

Критический — 9.8/10 Публичный эксплойт Устранена

Уязвимость криптографической хэш-функции SHA-3 программного пакета eXtended Keccak Code Package (XKCP) связана с ошибками при блочной обработке входных данных и приведении типов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в процессе вычисления хэша с помощью специально сформированных данных

Кого касается и что делать

Уязвимое ПО: Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS, 22.04 LTS, 22.10; Red Hat Enterprise Linux (Red Hat) — версии 8, 9; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; и ещё 10 позиций
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, security-tracker.debian.org
Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы	BDU:2022-06445 · CVE-2022-37454
Уровень опасности	Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость криптографической хэш-функции SHA-3 программного пакета eXtended Keccak Code Package (XKCP), позволяющая нарушителю выполнить произвольный код
Даты	Опубликована: 24.10.2022 · Обновлена ФСТЭК: 24.10.2025 · Выявлена: 21.10.2022
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных; CWE-120 — копирование буфера без проверки размера входных данных (классическое переполнение буфера)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами, манипулирование структурами данных

Уязвимое ПО

Ubuntu (Canonical) — версии 18.04 LTS, 20.04 LTS, 22.04 LTS, 22.10 · операционная система
Red Hat Enterprise Linux (Red Hat) — версии 8, 9 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
Red Hat Software Collections (Red Hat) — прикладное ПО информационных систем
Fedora (Fedora Project) — версии 35, 36 · операционная система
РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
Альт 8 СП (АО «ИВК») — операционная система
eXtended Keccak Code Package (Сообщество свободного программного обеспечения) — прикладное ПО информационных систем
PHP (PHP Group) — версии от 8.0.0 до 8.0.25, от 8.1.0 до 8.1.12, от 7.2.0 до 7.4.33 · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.7, до 2.14 · операционная система
Python (Python Software Foundation) — версии от 3.6.0 до 3.7.16, от 3.8.0 до 3.8.16, от 3.9.0 до 3.9.16, от 3.10.0 до 3.10.9 · прикладное ПО информационных систем
РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система

Возможные меры по устранению уязвимости

Обновление.

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

замена встроенной хеш-библиотеки проверенными реализациями из HACL;
— ограничение максимального размера данных, участвующих в одной итерации вычисления хэша.
Использование рекомендаций:
github.com/XKCP/XKCP/security/advisories/GHSA-6w4m-2xhg-2658
github.com/XKCP/XKCP/commit/fdc6fef075f4e81d6b1bc38364248…
Установка обновления для модуля XKCP:
github.com/XKCP/XKCP/commit/fdc6fef075f4e81d6b1bc38364248…

Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2022-37454
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2022-37454
Для программных продуктов Python Software Foundation: github.com/python/cpython/issues/98517; github.com/python/cpython/commit/0e4e058602d93b88256ff90b…; github.com/python/cpython/commit/857efee6d2d43c5c12fc7e37…; github.com/python/cpython/commit/948c6794711458fd148a3fa6…; github.com/python/cpython/commit/8088c90044ba04cd5624b278…; github.com/python/cpython/commit/6fe2a75b645044ca2b5dac03…
Для Ubuntu: ubuntu.com/security/notices/USN-5717-1; ubuntu.com/security/notices/USN-5767-1; ubuntu.com/security/notices/USN-5888-1; ubuntu.com/security/notices/USN-5767-3; ubuntu.com/security/notices/USN-5930-1; ubuntu.com/security/notices/USN-5931-1
Для Fedora: lists.fedoraproject.org/archives/list/package-announce%40…; lists.fedoraproject.org/archives/list/package-announce%40…
Для PHP Group: bugs.php.net/bug.php; github.com/php/php-src/commit/91663a92d1697fc30a7ba4687d7…; github.com/php/php-src/commit/248f647724e385bfb8d83aa5b5a…
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОСОН ОСнова Оnyx (версия 2.7): Обновление программного обеспечения php7.3 до версии 7.3.31-1~deb10u2.osnova10; Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u4.osnova10
Для Astra Linux Special Edition 1.7: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD
Для Astra Linux Special Edition для архитектуры ARM для 4.7: wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0316SE47MD
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2025-2676; Обновление программного обеспечения python3.9 до версии 3.9.23-1.osnova2u1

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: