BDU:2020-03946

Опубликовано: 28 мар. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость модуля для работы с ZIP-файлами zipfile пакета программ Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного архивного файла ZIP bomb

Вендор

Canonical Ltd.

Novell Inc.

Python Software Foundation

ООО «РусБИТех-Астра»

АО «НППКТ»

Наименование ПО

Ubuntu

OpenSUSE Leap

Python

Astra Linux Special Edition

ОСОН ОСнова Оnyx

Версия ПО

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

12.04 ESM (Ubuntu)

15.1 (OpenSUSE Leap)

14.04 ESM (Ubuntu)

до 3.7.2 включительно (Python)

1.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 12.04 ESM

Novell Inc. OpenSUSE Leap 15.1

Canonical Ltd. Ubuntu 14.04 ESM

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «НППКТ» ОСОН ОСнова Оnyx до 2.6

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Python:

https://bugs.python.org/issue36260

https://bugs.python.org/issue36462

https://python-security.readthedocs.io/security.html#archives-and-zip-bomb

https://www.python.org/news/security/

Для программных продуктов Novell Inc.:

http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00003.html

http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00041.html

Для Ubuntu:

https://usn.ubuntu.com/4428-1/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u3osnova9u3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-9674
CVE

EPSS

Процентиль: 93%

0.05636

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ALT-PU-2020-1434

CVSS3: 7.8

altlinux

больше 6 лет назад

ALT-PU-2020-1434: package `python3` update to version 3.8.1-alt1

CVE-2019-9674

CVSS3: 7.5

ubuntu

почти 7 лет назад

Lib/zipfile.py in Python through 3.7.2 allows remote attackers to cause a denial of service (resource consumption) via a ZIP bomb.

CVE-2019-9674

CVSS3: 4.2

redhat

больше 7 лет назад

Lib/zipfile.py in Python through 3.7.2 allows remote attackers to cause a denial of service (resource consumption) via a ZIP bomb.

CVE-2019-9674

CVSS3: 7.5

nvd

почти 7 лет назад

Lib/zipfile.py in Python through 3.7.2 allows remote attackers to cause a denial of service (resource consumption) via a ZIP bomb.

CVE-2019-9674

CVSS3: 7.5

msrc

около 2 лет назад

Описание отсутствует

EPSS

Процентиль: 93%

0.05636

Низкий

7.5 High

CVSS3

7.8 High

CVSS2