15.06.2025

Уязвимость BDU:2025-10931

Идентификатор: BDU:2025-10931.

Наименование уязвимости: Уязвимость функции SRBRoot::addTag() библиотеки для работы с Unicode (ICU), позволяющая нарушителю выполнить произвольный код и вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость функции SRBRoot::addTag() библиотеки для работы с Unicode (ICU) связана с копированием буфера без проверки размера входных данных. Эксплуатация уязвимости может позволить нарушителю выполнить нарушителю выполнить произвольный код и вызвать отказ в обслуживании
Уязвимое ПО: Операционная система Canonical Ltd. Ubuntu 14.04 LTS | Операционная система Canonical Ltd. Ubuntu 16.04 LTS | Операционная система Canonical Ltd. Ubuntu 18.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Canonical Ltd. Ubuntu 20.04 LTS | Операционная система Debian GNU/Linux 11 | Операционная система Debian GNU/Linux 12 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7 | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7 | Прикладное ПО информационных систем Red Hat Inc. Red Hat OpenShift Container Platform 4 | Операционная система Canonical Ltd. Ubuntu 22.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Операционная система Canonical Ltd. Ubuntu 24.04 LTS | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions | Операционная система ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9.4 Extended Update Support | Операционная система Canonical Ltd. Ubuntu 25.04 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 10 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9.2 Update Services for SAP Solutions | Операционная система АО «СберТех» Platform V SberLinux OS Server 9.1 | Прикладное ПО информационных систем Unicode Consortium ICU до 77.1 включительно | Операционная система ООО «НЦПР» МСВСфера 9.5 |

Возможные меры по устранению:
Использование рекомендаций производителя:
https://lists.debian.org/debian-lts-announce/2025/06/msg00015.html

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2025-5222

Для программных продуктов Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-5222

Для программных продуктов Ubuntu:
https://ubuntu.com/security/CVE-2025-5222

Компенсирующие меры:
— минимизация пользовательских привилегий;
— отключение/удаление неиспользуемых учётных записей пользователей;
— контроль журналов аудита кластера для отслеживания попыток эксплуатации уязвимости.

Для ОС Astra Linux:
обновить пакет icu до 72.1-3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18

Для ОС Astra Linux:
обновить пакет icu до 63.1-6+deb10u3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:
обновить пакет icu до 63.1-6+deb10u3.astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:12083?lang=ru.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2025-5222. RHSA-2025:11888. RHSA-2025:12083. RHSA-2025:12331. RHSA-2025:12332. RHSA-2025:12333.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://lists.debian.org/debian-lts-announce/2025/06/msg00015.html
https://access.redhat.com/security/cve/cve-2025-5222
https://security-tracker.debian.org/tracker/CVE-2025-5222
https://ubuntu.com/security/CVE-2025-5222
https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:12083?lang=ru

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: