Уязвимость BDU:2025-03866
Идентификатор: BDU:2025-03866.
Наименование уязвимости: Уязвимость функции lzma_stream_decoder_mt() библиотеки liblzma пакета для сжатия данных XZ Utils, позволяющая нарушителю вызвать отказ в обслуживании.
Описание уязвимости: Уязвимость функции lzma_stream_decoder_mt() библиотеки liblzma пакета для сжатия данных XZ Utils связана с преждевременным высвобождением ресурсов в результате разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании
Уязвимое ПО: Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8 | Прикладное ПО информационных систем XZ Utils от 5.3.3alpha до 5.4 | Прикладное ПО информационных систем XZ Utils до 5.6 | Прикладное ПО информационных систем XZ Utils до 5.8.1 | Операционная система АО «НППКТ» ОСОН ОСнова Оnyx до 2.13 |
Наименование ОС и тип аппаратной платформы: Astra Linux Special Edition 18 | ОСОН ОСнова Оnyx до 213 |
Дата выявления: 31.03.2025.
CVSS 2.0: AV:N/AC:L/Au:N/C:N/I:N/A:C
Уровень опасности уязвимости: Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)
Возможные меры по устранению:
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование средств межсетевого экранирования для ограничения удаленного доступа к уязвимому программному средству;
— сегментирование сети для ограничения доступа к уязвимому программному обеспечению из других подсетей;
— использование SIEM-систем для отслеживания попыток эксплуатации уязвимости;
— использование средств резервного копирования для обеспечения возможности восстановления системы после сбоя;
— ограничение доступа из внешних сетей (Интернет).
Использование рекомендаций:
https://github.com/tukaani-project/xz/security/advisories/GHSA-6cc8-p5mm-29w2
Обновление программного обеспечения xz-utils до версии 5.4.1-1
Для ОС Astra Linux:
обновить пакет xz-utils до 5.8.1-1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-31115.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/tukaani-project/xz/security/advisories/GHSA-6cc8-p5mm-29w2
http://www.openwall.com/lists/oss-security/2025/04/03/1
http://www.openwall.com/lists/oss-security/2025/04/03/2
http://www.openwall.com/lists/oss-security/2025/04/03/3
https://github.com/tukaani-project/xz/commit/d5a2ffe41bb77b918a8c96084885d4dbe4bf6480
https://tukaani.org/xz/xz-cve-2025-31115.patch
https://tukaani.org/xz/threaded-decoder-early-free.html
https://seclists.org/oss-sec/2025/q2/9
https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.13/
https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
