BDU:2022-05314 (CVE-2022-36033) — уязвимость параметра SafeList.preserveRelativeLinks Java-библиотеки анализа извлечения и управления данными в документах HTML
По данным БДУ ФСТЭК России, по состоянию на 10.02.2026.
Критический — 9.3/10 Публичный эксплойт Устранена
Уязвимость параметра SafeList.preserveRelativeLinks Java-библиотеки анализа, извлечения и управления данными в документах HTML jsoup связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю осуществлять межсайтовые сценарные атаки (XSS)
Кого касается и что делать
- Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; jsoup (Сообщество свободного программного обеспечения) — версии до 1.15.3; Logstash (Elastic NV) — версии до 8.12.1; и ещё 1 позиция
- Что делать: уязвимость устранена производителем — применить исправления: github.com, repo.red-soft.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2022-05314 · CVE-2022-36033 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.3; CVSS 2.0 — 9.4) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость параметра SafeList.preserveRelativeLinks Java-библиотеки анализа, извлечения и управления данными в документах HTML jsoup, позволяющая нарушителю осуществлять межсайтовые сценарные атаки (XSS) |
| Даты | Опубликована: 26.08.2022 · Обновлена ФСТЭК: 10.02.2026 · Выявлена: 24.08.2022 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-87 — непринятие мер по нейтрализации альтернативного синтаксиса XSS |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
| Обнаружена | В ходе тестирования обновления (ТО1092) программного обеспечения Logstash были выявлены опасные конструкции, а именно политические баннеры |
Уязвимое ПО
- РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
- jsoup (Сообщество свободного программного обеспечения) — до 1.15.3 · прикладное ПО информационных систем
- Logstash (Elastic NV) — до 8.12.1 · прикладное ПО информационных систем, ПО сетевого программно-аппаратного средства
- Android Studio (Google) — 2025.2.3.9 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций производителя:
github.com/jhy/jsoup/security/advisories/GHSA-gp7f-rwcx-9369
- Для Logstash: Организационные меры; 1. Ограничить использование программного средства; 2. Использование аналогичного программного средства
- Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
