ALT-BU-2025-13873-1
Branch c10f2 update bulletin.
Closed vulnerabilities
BDU:2025-13314
Уязвимость инструмента для стилизации веб-приложений с помощью JavaScript JSS, связанная с отсутствием освобождения памяти после эффективного срока службы, позволяющая нарушителю вызвать отказ в обслуживании
Modified: 2024-11-21
CVE-2022-4132
A flaw was found in JSS. A memory leak in JSS requires non-standard configuration but is a low-effort DoS vector if configured that way (repeatedly hitting the login page).
Closed vulnerabilities
Modified: 2025-11-17
BDU:2025-11799
Уязвимость функции re_case_expand компонента src/fa.c инструмента редактирования конфигураций Augeas, позволяющая нарушителю вызвать отказ в обслуживании
Modified: 2025-04-01
CVE-2025-2588
A vulnerability has been found in Hercules Augeas 1.14.1 and classified as problematic. This vulnerability affects the function re_case_expand of the file src/fa.c. The manipulation of the argument re leads to null pointer dereference. Attacking locally is a requirement. The exploit has been disclosed to the public and may be used.
Closed bugs
Не работает с -D_FILE_OFFSET_BITS=64
Package dotnet-bootstrap-8.0 updated to version 8.0.21-alt1 for branch c10f2 in task 398575.
Closed vulnerabilities
Modified: 2025-01-30
BDU:2025-00356
Уязвимость программной платформы Microsoft .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с cозданием временного файла в каталоге с неправильными разрешениями, позволяющая нарушителю повысить свои привилегии
Modified: 2025-01-30
BDU:2025-00367
Уязвимость программной платформы Microsoft .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с переполнением буфера в динамической памяти, позволяющая нарушителю выполнить произвольный код
Modified: 2025-01-30
BDU:2025-00588
Уязвимость программных платформ Microsoft .NET Framework, .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с выходом операции за границы буфера в памяти, позволяющая нарушителю выполнить произвольный код
Modified: 2025-05-20
BDU:2025-04038
Уязвимость программной платформы ASP.NET Core и средства разработки программного обеспечения Microsoft Visual Studio, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать отказ в обслуживании
Modified: 2025-09-10
BDU:2025-04300
Уязвимость программной платформы ASP.NET Core и средства разработки программного обеспечения Microsoft Visual Studio, связанная с обходом аутентификации, позволяющая нарушителю повысить свои привилегии
Modified: 2025-06-23
BDU:2025-05444
Уязвимость средства разработки программного обеспечения Microsoft Visual Studio, программной платформы Microsoft.NET и набора инструментов Build Tools for Visual Studio, связанная с некорректным внешним управлением именем или путем файла, позволяющая нарушителю проводить спуфинг атаки
Modified: 2025-11-07
BDU:2025-13247
Уязвимость программной платформы ASP.NET Core, связанная с недостатками обработки HTTP-запросов, позволяющая нарушителю обойти существующие ограничения безопасности
Modified: 2025-11-07
BDU:2025-13256
Уязвимость программной платформы .NET, связанная с некорректным определением символических ссылок в ходе осуществления доступа к файлу, позволяющая нарушителю повысить свои привилегии
Modified: 2025-11-07
BDU:2025-13257
Уязвимость программных платформ Microsoft .NET Framework, .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с недостаточно стойким шифрованием данных, позволяющая нарушителю раскрыть защищаемую информацию
Modified: 2025-05-06
CVE-2025-21172
.NET and Visual Studio Remote Code Execution Vulnerability
Modified: 2025-05-06
CVE-2025-21173
.NET Elevation of Privilege Vulnerability
Modified: 2025-05-06
CVE-2025-21176
.NET, .NET Framework, and Visual Studio Remote Code Execution Vulnerability
Modified: 2025-07-02
CVE-2025-24070
Weak authentication in ASP.NET Core & Visual Studio allows an unauthorized attacker to elevate privileges over a network.
Modified: 2025-07-10
CVE-2025-26646
External control of file name or path in .NET, Visual Studio, and Build Tools for Visual Studio allows an authorized attacker to perform spoofing over a network.
Modified: 2025-07-09
CVE-2025-26682
Allocation of resources without limits or throttling in ASP.NET Core allows an unauthorized attacker to deny service over a network.
Modified: 2025-10-23
CVE-2025-55247
Improper link resolution before file access ('link following') in .NET allows an authorized attacker to elevate privileges locally.
Modified: 2025-10-23
CVE-2025-55248
Inadequate encryption strength in .NET, .NET Framework, Visual Studio allows an authorized attacker to disclose information over a network.
Modified: 2025-10-28
CVE-2025-55315
Inconsistent interpretation of http requests ('http request/response smuggling') in ASP.NET Core allows an authorized attacker to bypass a security feature over a network.
Package dotnet-aspnetcore-8.0 updated to version 8.0.21-alt1 for branch c10f2 in task 398575.
Closed vulnerabilities
Modified: 2025-05-20
BDU:2025-04038
Уязвимость программной платформы ASP.NET Core и средства разработки программного обеспечения Microsoft Visual Studio, связанная с неограниченным распределением ресурсов, позволяющая нарушителю вызвать отказ в обслуживании
Modified: 2025-09-10
BDU:2025-04300
Уязвимость программной платформы ASP.NET Core и средства разработки программного обеспечения Microsoft Visual Studio, связанная с обходом аутентификации, позволяющая нарушителю повысить свои привилегии
Modified: 2025-11-07
BDU:2025-13247
Уязвимость программной платформы ASP.NET Core, связанная с недостатками обработки HTTP-запросов, позволяющая нарушителю обойти существующие ограничения безопасности
Modified: 2025-07-02
CVE-2025-24070
Weak authentication in ASP.NET Core & Visual Studio allows an unauthorized attacker to elevate privileges over a network.
Modified: 2025-07-09
CVE-2025-26682
Allocation of resources without limits or throttling in ASP.NET Core allows an unauthorized attacker to deny service over a network.
Modified: 2025-10-28
CVE-2025-55315
Inconsistent interpretation of http requests ('http request/response smuggling') in ASP.NET Core allows an authorized attacker to bypass a security feature over a network.
Package dotnet-sdk-8.0 updated to version 8.0.121-alt1 for branch c10f2 in task 398575.
Closed vulnerabilities
Modified: 2025-06-23
BDU:2025-05444
Уязвимость средства разработки программного обеспечения Microsoft Visual Studio, программной платформы Microsoft.NET и набора инструментов Build Tools for Visual Studio, связанная с некорректным внешним управлением именем или путем файла, позволяющая нарушителю проводить спуфинг атаки
Modified: 2025-07-25
BDU:2025-07085
Уязвимость программной платформы Microsoft .NET и средства разработки программного обеспечения Microsoft Visual Studio, позволяющая нарушителю выполнить произвольный код
Modified: 2025-07-10
CVE-2025-26646
External control of file name or path in .NET, Visual Studio, and Build Tools for Visual Studio allows an authorized attacker to perform spoofing over a network.
Modified: 2025-07-10
CVE-2025-30399
Untrusted search path in .NET and Visual Studio allows an unauthorized attacker to execute code over a network.
Package dotnet-runtime-8.0 updated to version 8.0.21-alt1 for branch c10f2 in task 398575.
Closed vulnerabilities
BDU:2024-08478
Уязвимость программной платформы Microsoft .NET, Microsoft .NET Framework и редактора исходного кода Visual Studio, связанная с алгоритмической сложностью, позволяющая нарушителю вызвать отказ в обслуживании
BDU:2024-08479
Уязвимость программной платформы Microsoft .NET, Microsoft .NET Framework и редактора исходного кода Visual Studio, связанная с неконтролируемым распределением памяти, позволяющая нарушителю вызвать отказ в обслуживании
BDU:2024-08706
Уязвимость программной платформы Microsoft .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с возможностью использования памяти после освобождения, позволяющая нарушителю выполнить произвольный код
BDU:2024-08707
Уязвимость программной платформы Microsoft .NET и редактора исходного кода Visual Studio, связанная с алгоритмической сложностью, позволяющая нарушителю вызвать отказ в обслуживании
Modified: 2025-11-07
BDU:2025-13257
Уязвимость программных платформ Microsoft .NET Framework, .NET и средства разработки программного обеспечения Microsoft Visual Studio, связанная с недостаточно стойким шифрованием данных, позволяющая нарушителю раскрыть защищаемую информацию
Modified: 2025-05-06
CVE-2024-38229
.NET and Visual Studio Remote Code Execution Vulnerability
Modified: 2024-10-21
CVE-2024-43483
.NET, .NET Framework, and Visual Studio Denial of Service Vulnerability
Modified: 2025-03-28
CVE-2024-43484
.NET, .NET Framework, and Visual Studio Denial of Service Vulnerability
Modified: 2024-10-21
CVE-2024-43485
.NET and Visual Studio Denial of Service Vulnerability
Modified: 2025-10-23
CVE-2025-55248
Inadequate encryption strength in .NET, .NET Framework, Visual Studio allows an authorized attacker to disclose information over a network.
Package xorg-xwayland updated to version 23.1.1-alt11 for branch c10f2 in task 398709.
Closed vulnerabilities
Modified: 2025-11-11
CVE-2025-62229
A flaw was found in the X.Org X server and Xwayland when processing X11 Present extension notifications. Improper error handling during notification creation can leave dangling pointers that lead to a use-after-free condition. This can cause memory corruption or a crash, potentially allowing an attacker to execute arbitrary code or cause a denial of service.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62229
- https://bugzilla.redhat.com/show_bug.cgi?id=2402649
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html
Modified: 2025-11-11
CVE-2025-62230
A flaw was discovered in the X.Org X server’s X Keyboard (Xkb) extension when handling client resource cleanup. The software frees certain data structures without properly detaching related resources, leading to a use-after-free condition. This can cause memory corruption or a crash when affected clients disconnect.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62230
- https://bugzilla.redhat.com/show_bug.cgi?id=2402653
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html
Modified: 2025-11-11
CVE-2025-62231
A flaw was identified in the X.Org X server’s X Keyboard (Xkb) extension where improper bounds checking in the XkbSetCompatMap() function can cause an unsigned short overflow. If an attacker sends specially crafted input data, the value calculation may overflow, leading to memory corruption or a crash.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62231
- https://bugzilla.redhat.com/show_bug.cgi?id=2402660
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html
Package xorg-server updated to version 1.20.14-alt19 for branch c10f2 in task 398709.
Closed vulnerabilities
Modified: 2025-11-11
CVE-2025-62229
A flaw was found in the X.Org X server and Xwayland when processing X11 Present extension notifications. Improper error handling during notification creation can leave dangling pointers that lead to a use-after-free condition. This can cause memory corruption or a crash, potentially allowing an attacker to execute arbitrary code or cause a denial of service.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62229
- https://bugzilla.redhat.com/show_bug.cgi?id=2402649
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html
Modified: 2025-11-11
CVE-2025-62230
A flaw was discovered in the X.Org X server’s X Keyboard (Xkb) extension when handling client resource cleanup. The software frees certain data structures without properly detaching related resources, leading to a use-after-free condition. This can cause memory corruption or a crash when affected clients disconnect.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62230
- https://bugzilla.redhat.com/show_bug.cgi?id=2402653
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html
Modified: 2025-11-11
CVE-2025-62231
A flaw was identified in the X.Org X server’s X Keyboard (Xkb) extension where improper bounds checking in the XkbSetCompatMap() function can cause an unsigned short overflow. If an attacker sends specially crafted input data, the value calculation may overflow, leading to memory corruption or a crash.
- https://access.redhat.com/errata/RHSA-2025:19432
- https://access.redhat.com/errata/RHSA-2025:19433
- https://access.redhat.com/errata/RHSA-2025:19434
- https://access.redhat.com/errata/RHSA-2025:19435
- https://access.redhat.com/errata/RHSA-2025:19489
- https://access.redhat.com/errata/RHSA-2025:19623
- https://access.redhat.com/errata/RHSA-2025:19909
- https://access.redhat.com/errata/RHSA-2025:20958
- https://access.redhat.com/errata/RHSA-2025:20960
- https://access.redhat.com/errata/RHSA-2025:20961
- https://access.redhat.com/errata/RHSA-2025:21035
- https://access.redhat.com/security/cve/CVE-2025-62231
- https://bugzilla.redhat.com/show_bug.cgi?id=2402660
- http://www.openwall.com/lists/oss-security/2025/10/28/7
- https://lists.debian.org/debian-lts-announce/2025/10/msg00033.html