Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-00936

Опубликовано: 01 сент. 2020
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость реализации режима FILE_UPLOAD_DIRECTORY_PERMISSIONS программной платформы для веб-приложений Django связана с неправильными настройками прав доступа по умолчанию. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию

Вендор

ООО «РусБИТех-Астра»
Oracle Corp.
Canonical Ltd.
Django Software Foundation
АО "НППКТ"

Наименование ПО

Astra Linux Special Edition
Hyperion Planning
Ubuntu
Enterprise Manager Ops Center
Sun ZFS Storage Appliance Kit
Django
ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
11.1.2.4 (Hyperion Planning)
20.04 LTS (Ubuntu)
12.4.0.0 (Enterprise Manager Ops Center)
8.8 (Sun ZFS Storage Appliance Kit)
от 2.2 до 2.2.16 (Django)
от 3.0 до 3.0.10 (Django)
от 3.1 до 3.1.1 (Django)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.5 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Canonical Ltd. Ubuntu 20.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Django:
Обновление программной платформы для веб-приложений Django до более актуальной версии
Для Ubuntu:
https://usn.ubuntu.com/4479-1/
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2021.html
Для ОСОН Основа:
Обновление программного обеспечения python-django до версии 2:2.2.24-1~bpo10+1
Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет python-django до 1:1.10.7-2+deb9u22+ci202408201751+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 86%
0.0284
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
почти 5 лет назад

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). FILE_UPLOAD_DIRECTORY_PERMISSIONS mode was not applied to intermediate-level directories created in the process of uploading files. It was also not applied to intermediate-level collected static directories when using the collectstatic management command.

CVSS3: 7.5
redhat
почти 5 лет назад

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). FILE_UPLOAD_DIRECTORY_PERMISSIONS mode was not applied to intermediate-level directories created in the process of uploading files. It was also not applied to intermediate-level collected static directories when using the collectstatic management command.

CVSS3: 7.5
nvd
почти 5 лет назад

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10, and 3.1 before 3.1.1 (when Python 3.7+ is used). FILE_UPLOAD_DIRECTORY_PERMISSIONS mode was not applied to intermediate-level directories created in the process of uploading files. It was also not applied to intermediate-level collected static directories when using the collectstatic management command.

CVSS3: 7.5
debian
почти 5 лет назад

An issue was discovered in Django 2.2 before 2.2.16, 3.0 before 3.0.10 ...

CVSS3: 7.5
github
больше 4 лет назад

Django Incorrect Default Permissions

EPSS

Процентиль: 86%
0.0284
Низкий

7.5 High

CVSS3

7.8 High

CVSS2