Π›ΠΎΠ³ΠΎΡ‚ΠΈΠΏ exploitDog
Консоль
Π›ΠΎΠ³ΠΎΡ‚ΠΈΠΏ exploitDog

exploitDog

fstec Π»ΠΎΠ³ΠΎΡ‚ΠΈΠΏ

BDU:2021-00881

ΠžΠΏΡƒΠ±Π»ΠΈΠΊΠΎΠ²Π°Π½ΠΎ: 01 сСнт. 2020
Π˜ΡΡ‚ΠΎΡ‡Π½ΠΈΠΊ: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

ОписаниС

Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡ‚ΡŒ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠΉ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ для Π²Π΅Π±-ΠΏΡ€ΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠΉ Django связана с Π½Π΅ΠΏΡ€Π°Π²ΠΈΠ»ΡŒΠ½Ρ‹ΠΌΠΈ настройками ΠΏΡ€Π°Π² доступа ΠΏΠΎ ΡƒΠΌΠΎΠ»Ρ‡Π°Π½ΠΈΡŽ. Эксплуатация уязвимости ΠΌΠΎΠΆΠ΅Ρ‚ ΠΏΠΎΠ·Π²ΠΎΠ»ΠΈΡ‚ΡŒ Π½Π°Ρ€ΡƒΡˆΠΈΡ‚Π΅Π»ΡŽ, Π΄Π΅ΠΉΡΡ‚Π²ΡƒΡŽΡ‰Π΅ΠΌΡƒ ΡƒΠ΄Π°Π»Ρ‘Π½Π½ΠΎ, Ρ€Π°ΡΠΊΡ€Ρ‹Ρ‚ΡŒ Π·Π°Ρ‰ΠΈΡ‰Π°Π΅ΠΌΡƒΡŽ ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡŽ

Π’Π΅Π½Π΄ΠΎΡ€

ООО Β«Π ΡƒΡΠ‘Π˜Π’Π΅Ρ…-Астра»
Oracle Corp.
Canonical Ltd.
Django Software Foundation
АО «НППКВ»

НаимСнованиС ПО

Astra Linux Special Edition
Hyperion Planning
Ubuntu
Enterprise Manager Ops Center
Sun ZFS Storage Appliance Kit
Django
ОБОН ОБнова Оnyx

ВСрсия ПО

1.6 «БмолСнск» (Astra Linux Special Edition)
11.1.2.4 (Hyperion Planning)
20.04 LTS (Ubuntu)
12.4.0.0 (Enterprise Manager Ops Center)
8.8 (Sun ZFS Storage Appliance Kit)
ΠΎΡ‚ 2.2 Π΄ΠΎ 2.2.16 (Django)
ΠΎΡ‚ 3.0 Π΄ΠΎ 3.0.10 (Django)
ΠΎΡ‚ 3.1 Π΄ΠΎ 3.1.1 (Django)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.5 (ОБОН ОБнова Оnyx)

Вип ПО

ΠžΠΏΠ΅Ρ€Π°Ρ†ΠΈΠΎΠ½Π½Π°Ρ систСма
ΠŸΡ€ΠΈΠΊΠ»Π°Π΄Π½ΠΎΠ΅ ПО ΠΈΠ½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΠΎΠ½Π½Ρ‹Ρ… систСм
Π‘Π΅Ρ‚Π΅Π²ΠΎΠ΅ ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠ΅ срСдство

ΠžΠΏΠ΅Ρ€Π°Ρ†ΠΈΠΎΠ½Π½Ρ‹Π΅ систСмы ΠΈ Π°ΠΏΠΏΠ°Ρ€Π°Ρ‚Π½Ρ‹Π΅ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹

ООО Β«Π ΡƒΡΠ‘Π˜Π’Π΅Ρ…-Астра» Astra Linux Special Edition 1.6 «БмолСнск»
Canonical Ltd. Ubuntu 20.04 LTS
ООО Β«Π ΡƒΡΠ‘Π˜Π’Π΅Ρ…-Астра» Astra Linux Special Edition 1.7
ООО Β«Π ΡƒΡΠ‘Π˜Π’Π΅Ρ…-Астра» Astra Linux Special Edition 4.7

Π£Ρ€ΠΎΠ²Π΅Π½ΡŒ опасности уязвимости

Высокий ΡƒΡ€ΠΎΠ²Π΅Π½ΡŒ опасности (базовая ΠΎΡ†Π΅Π½ΠΊΠ° CVSS 2.0 составляСт 7,8)
Высокий ΡƒΡ€ΠΎΠ²Π΅Π½ΡŒ опасности (базовая ΠΎΡ†Π΅Π½ΠΊΠ° CVSS 3.0 составляСт 7,5)

Π’ΠΎΠ·ΠΌΠΎΠΆΠ½Ρ‹Π΅ ΠΌΠ΅Ρ€Ρ‹ ΠΏΠΎ ΡƒΡΡ‚Ρ€Π°Π½Π΅Π½ΠΈΡŽ уязвимости

ОбновлСниС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠΉ ΠΏΠ»Π°Ρ‚Ρ„ΠΎΡ€ΠΌΡ‹ для Π²Π΅Π±-ΠΏΡ€ΠΈΠ»ΠΎΠΆΠ΅Π½ΠΈΠΉ Django Π΄ΠΎ Π°ΠΊΡ‚ΡƒΠ°Π»ΡŒΠ½ΠΎΠΉ вСрсии
Для Ubuntu:
https://usn.ubuntu.com/4479-1/
Для ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½Ρ‹Ρ… ΠΏΡ€ΠΎΠ΄ΡƒΠΊΡ‚ΠΎΠ² Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2021.html
Для ОБОН Основа:
ОбновлСниС ΠΏΡ€ΠΎΠ³Ρ€Π°ΠΌΠΌΠ½ΠΎΠ³ΠΎ обСспСчСния python-django Π΄ΠΎ вСрсии 2:2.2.24-1~bpo10+1
Для ОБ Astra Linux Special Edition 1.7:
использованиС Ρ€Π΅ΠΊΠΎΠΌΠ΅Π½Π΄Π°Ρ†ΠΈΠΉ производитСля: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОБ Astra Linux Special Edition 4.7 для Π°Ρ€Ρ…ΠΈΡ‚Π΅ΠΊΡ‚ΡƒΡ€Ρ‹ ARM:
использованиС Ρ€Π΅ΠΊΠΎΠΌΠ΅Π½Π΄Π°Ρ†ΠΈΠΉ производитСля: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Для Astra Linux Special Edition 1.6 «БмолСнск»::
ΠΎΠ±Π½ΠΎΠ²ΠΈΡ‚ΡŒ ΠΏΠ°ΠΊΠ΅Ρ‚ python-django Π΄ΠΎ 1:1.10.7-2+deb9u22+ci202408201751+astra1 ΠΈΠ»ΠΈ Π±ΠΎΠ»Π΅Π΅ высокой вСрсии, ΠΈΡΠΏΠΎΠ»ΡŒΠ·ΡƒΡ Ρ€Π΅ΠΊΠΎΠΌΠ΅Π½Π΄Π°Ρ†ΠΈΠΈ производитСля: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Бтатус уязвимости

ΠŸΠΎΠ΄Ρ‚Π²Π΅Ρ€ΠΆΠ΄Π΅Π½Π° ΠΏΡ€ΠΎΠΈΠ·Π²ΠΎΠ΄ΠΈΡ‚Π΅Π»Π΅ΠΌ

НаличиС эксплойта

Π”Π°Π½Π½Ρ‹Π΅ ΡƒΡ‚ΠΎΡ‡Π½ΡΡŽΡ‚ΡΡ

Π˜Π½Ρ„ΠΎΡ€ΠΌΠ°Ρ†ΠΈΡ ΠΎΠ± устранСнии

Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡ‚ΡŒ устранСна

Π˜Π΄Π΅Π½Ρ‚ΠΈΡ„ΠΈΠΊΠ°Ρ‚ΠΎΡ€Ρ‹ Π΄Ρ€ΡƒΠ³ΠΈΡ… систСм описаний уязвимостСй

EPSS

ΠŸΡ€ΠΎΡ†Π΅Π½Ρ‚ΠΈΠ»ΡŒ: 87%
0.0327
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

БвязанныС уязвимости

CVSS3: 7.5
ubuntu
ΠΏΠΎΡ‡Ρ‚ΠΈ 6 Π»Π΅Ρ‚ Π½Π°Π·Π°Π΄

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). The intermediate-level directories of the filesystem cache had the system's standard umask rather than 0o077.

CVSS3: 7.5
redhat
ΠΏΠΎΡ‡Ρ‚ΠΈ 6 Π»Π΅Ρ‚ Π½Π°Π·Π°Π΄

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). The intermediate-level directories of the filesystem cache had the system's standard umask rather than 0o077.

CVSS3: 7.5
nvd
ΠΏΠΎΡ‡Ρ‚ΠΈ 6 Π»Π΅Ρ‚ Π½Π°Π·Π°Π΄

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). The intermediate-level directories of the filesystem cache had the system's standard umask rather than 0o077.

CVSS3: 7.5
debian
ΠΏΠΎΡ‡Ρ‚ΠΈ 6 Π»Π΅Ρ‚ Π½Π°Π·Π°Π΄

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10 ...

CVSS3: 7.5
github
большС 5 Π»Π΅Ρ‚ Π½Π°Π·Π°Π΄

Django Incorrect Default Permissions

EPSS

ΠŸΡ€ΠΎΡ†Π΅Π½Ρ‚ΠΈΠ»ΡŒ: 87%
0.0327
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Π£ΡΠ·Π²ΠΈΠΌΠΎΡΡ‚ΡŒ BDU:2021-00881