03.07.2025

Уязвимость BDU:2025-10415

Идентификатор: BDU:2025-10415.

Наименование уязвимости: Уязвимость функции xmlNodeSetName() интерпретатора языка программирования PHP, позволяющая нарушителю вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость функции xmlNodeSetName() интерпретатора языка программирования PHP связана с ошибками разыменования указателей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Уязвимое ПО: Операционная система Canonical Ltd. Ubuntu 16.04 LTS | Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система Novell Inc. openSUSE Tumbleweed — | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Debian GNU/Linux 11 | Операционная система Debian GNU/Linux 12 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4 | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Прикладное ПО информационных систем Novell Inc. SUSE Manager Server 4.3 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP5 | Операционная система АО «ИВК» АЛЬТ СП 10 — | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP4-ESPOS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP4-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP4-LTSS | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP6 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Package Hub 15 SP6 | Операционная система Canonical Ltd. Ubuntu 24.04 LTS | Операционная система Novell Inc. OpenSUSE Leap 15.6 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Web Scripting 15 SP6 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP5-LTSS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP5-LTSS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP5-ESPOS | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Legacy 15 SP6 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise High Performance Computing 15 SP7 | Операционная система Novell Inc. Suse Linux Enterprise Server 15 SP7 | Операционная система Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP7 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Package Hub 15 SP7 | Операционная система Canonical Ltd. Ubuntu 25.04 | Прикладное ПО информационных систем PHP Group PHP до 8.1.33 | Прикладное ПО информационных систем PHP Group PHP до 8.2.29 | Прикладное ПО информационных систем PHP Group PHP до 8.3.23 | Прикладное ПО информационных систем PHP Group PHP до 8.4.10 | Прикладное ПО информационных систем libxml2 до 2.13 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Legacy 15 SP7 | Операционная система Debian GNU/Linux 13 | Прикладное ПО информационных систем Novell Inc. SUSE Linux Enterprise Module for Web Scripting 15 SP7 |

Возможные меры по устранению:
В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для PHP:
https://github.com/php/php-src/security/advisories/GHSA-453j-q27h-5p8x

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-6491

Для Ubuntu:
https://ubuntu.com/security/CVE-2025-6491

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-6491.html

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:
обновить пакет php8.2 до 8.2.29-1~deb12u1+ci2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18

Для ОС Astra Linux:
— обновить пакет php8.1 до 8.1.12-1ubuntu4.3.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47
— обновить пакет php7.3 до 7.3.31-1~deb10u11 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE47.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Существует в открытом доступе
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-6491.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://github.com/php/php-src/security/advisories/GHSA-453j-q27h-5p8x
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://www.suse.com/security/cve/CVE-2025-6491.html
https://ubuntu.com/security/CVE-2025-6491
https://security-tracker.debian.org/tracker/CVE-2025-6491
https://altsp.su/obnovleniya-bezopasnosti/
https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-1113SE18
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-1202SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1216SE329

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: