BDU:2020-01062

Опубликовано: 15 апр. 2019

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость модуля urllib3 интерпретатора языка программирования Python существуют из-за неприятия мер по нейтрализации последовательностей CRLF. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность и целостность защищаемой информации в результате ввода недопустимых символов (CRLF)

Вендор

Red Hat Inc.

Canonical Ltd.

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Fedora Project

Andrey Petrov

Novell Inc.

АО «Концерн ВНИИНС»

АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux

Ubuntu

Debian GNU/Linux

Astra Linux Special Edition

Fedora

urllib3

OpenSUSE Leap

Astra Linux Special Edition для «Эльбрус»

ОС ОН «Стрелец»

ОСОН ОСнова Оnyx

Версия ПО

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

29 (Fedora)

19.04 (Ubuntu)

до 1.24.2 (urllib3)

8 (Red Hat Enterprise Linux)

15.0 (OpenSUSE Leap)

15.1 (OpenSUSE Leap)

30 (Fedora)

14.04 ESM (Ubuntu)

10 (Debian GNU/Linux)

31 (Fedora)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

до 16.01.2023 (ОС ОН «Стрелец»)

до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

Fedora Project Fedora 29

Canonical Ltd. Ubuntu 19.04

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Fedora Project Fedora 30

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 31

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для urllib3:

https://github.com/urllib3/urllib3/issues/1553

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00039.html

https://lists.opensuse.org/opensuse-security-announce/2019-09/msg00041.html

Для Ubuntu:

https://usn.ubuntu.com/3990-1/

https://usn.ubuntu.com/3990-2/

Для программных продуктов Fedora Project:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NKGPJLVLVYCL4L4B4G5TIOTVK4BKPG72/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/R62XGEYPUTXMRHGX5I37EBCGQ5COHGKR/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TBI45HO533KYHNB5YRO43TBYKA3E3VRL/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XOSA2NT4DUQDBEIWE6O7KKD24XND7TE2/

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2019/06/msg00016.html

https://security-tracker.debian.org/tracker/CVE-2019-11236

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/errata/RHSA-2019:2272

https://access.redhat.com/errata/RHSA-2019:3335

https://access.redhat.com/errata/RHSA-2019:3590

Для Astra Linux:

Использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17

Для Astra Linux Special Edition 4.7 (для архитектуры ARM):

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет python-urllib3 до 1.19.1-1+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения python-urllib3 до версии 1.19.1-1+deb9u1

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения python-urllib3 до версии 1.24.1-1+deb10u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-11236
CVE

EPSS

Процентиль: 69%

0.00636

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVE-2019-11236

CVSS3: 6.1

ubuntu

около 6 лет назад

In the urllib3 library through 1.24.1 for Python, CRLF injection is possible if the attacker controls the request parameter.

CVE-2019-11236

CVSS3: 6.5

redhat

больше 6 лет назад

In the urllib3 library through 1.24.1 for Python, CRLF injection is possible if the attacker controls the request parameter.

CVE-2019-11236

CVSS3: 6.1

nvd

около 6 лет назад

In the urllib3 library through 1.24.1 for Python, CRLF injection is possible if the attacker controls the request parameter.

CVE-2019-11236

CVSS3: 6.1

msrc

больше 4 лет назад

Описание отсутствует

CVE-2019-11236

CVSS3: 6.1

debian

около 6 лет назад

In the urllib3 library through 1.24.1 for Python, CRLF injection is po ...

EPSS

Процентиль: 69%

0.00636

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2