BDU:2025-16168 (CVE-2023-51589) — уязвимость реализации протокола AVRCP стека протоколов Bluetooth для ОС Linux BlueZ
По данным БДУ ФСТЭК России, по состоянию на 10.03.2026.
Уязвимость реализации протокола AVRCP стека протоколов Bluetooth для ОС Linux BlueZ связана с чтением за границами буфера памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти существующие ограничения безопасности с помощью специально созданного устройства
Кого касается и что делать
- Уязвимое ПО: МСВСфера (ООО «НЦПР») — версии 9.5; BlueZ (Сообщество свободного программного обеспечения) — версии до 5.72-2, 5.66; РЕД ОС (ООО «Ред Софт») — версии 8.0
- Что делать: уязвимость устранена производителем — применить исправления: tsn.miraclelinux.com, repo.red-soft.ru, errata.msvsphere-os.ru
- Эксплойт: существует — обновление не откладывать
Сведения об уязвимости
| Идентификаторы | BDU:2025-16168 · CVE-2023-51589 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.4; CVSS 2.0 — 5.3) |
| Вектор CVSS 3.1 | AV:A/ атака из смежной сети, высокая сложность, без прав, требуется участие пользователя, высокое влияние на конфиденциальность, ограниченное влияние на доступность |
| Наименование ФСТЭК | Уязвимость реализации протокола AVRCP стека протоколов Bluetooth для ОС Linux BlueZ, позволяющая нарушителю обойти существующие ограничения безопасности |
| Даты | Опубликована: 22.12.2025 · Обновлена ФСТЭК: 10.03.2026 · Выявлена: 17.08.2025 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует (эксплойт известен, в открытом доступе не опубликован) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-125 — чтение за границами буфера |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование структурами данных |
Уязвимое ПО
- МСВСфера (ООО «НЦПР») — 9.5 · операционная система
- BlueZ (Сообщество свободного программного обеспечения) — версии до 5.72-2, 5.66 · прикладное ПО информационных систем
- РЕД ОС (ООО «Ред Софт») — 8.0 · операционная система
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для BlueZ: tsn.miraclelinux.com/en/node/20298
- Для Ред ОС: repo.red-soft.ru/redos/8.0/x86_64/updates/
- Для МСВСфера: errata.msvsphere-os.ru/definition/9/INFCSA-2024:9413
Уязвимость реализации протокола AVRCP стека протоколов Bluetooth для ОС Linux BlueZ вызвана ошибкой чтения за пределами допустимого диапазона. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить конфиденциальную информацию и использовать её для запуска дальнейших атак на поражённую систему, убедив жертву подключиться к специально созданному устройству.
