BDU:2021-01729

Опубликовано: 24 нояб. 2020

Источник: fstec

CVSS3: 3.7

CVSS2: 4.3

EPSS Низкий

Описание

Уязвимость функции authenticateAndRun менеджера электронных списков рассылки Sympa связана с отсутствием проверки значения куки. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

Сообщество свободного программного обеспечения

Fedora Project

The Sympa Community

Наименование ПО

Debian GNU/Linux

Fedora

Sympa

Версия ПО

9 (Debian GNU/Linux)

10 (Debian GNU/Linux)

32 (Fedora)

33 (Fedora)

до 6.2.59 beta1 включительно (Sympa)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Fedora Project Fedora 32

Fedora Project Fedora 33

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Sympa:

Обновление программного обеспечения до 6.2.60~dfsg-4 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета sympa) до 6.2.16~dfsg-3+deb9u5 или более поздней версии

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/EFZWDEKQFW3EH665OECDWIWM2MI7T53Y/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JICIHAJKKCZXJNIICUDYXGZFQCN6J4U6/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-29668
CVE

EPSS

Процентиль: 77%

0.01039

Низкий

3.7 Low

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2020-29668

CVSS3: 3.7

ubuntu

около 5 лет назад

Sympa before 6.2.59b.2 allows remote attackers to obtain full SOAP API access by sending any arbitrary string (except one from an expired cookie) as the cookie value to authenticateAndRun.

CVE-2020-29668

CVSS3: 3.7

nvd

около 5 лет назад

Sympa before 6.2.59b.2 allows remote attackers to obtain full SOAP API access by sending any arbitrary string (except one from an expired cookie) as the cookie value to authenticateAndRun.

CVE-2020-29668

CVSS3: 3.7

debian

около 5 лет назад

Sympa before 6.2.59b.2 allows remote attackers to obtain full SOAP API ...

GHSA-wrwc-95g6-4fm3

CVSS3: 3.7

github

больше 3 лет назад

Sympa before 6.2.59b.2 allows remote attackers to obtain full SOAP API access by sending any arbitrary string (except one from an expired cookie) as the cookie value to authenticateAndRun.

EPSS

Процентиль: 77%

0.01039

Низкий

3.7 Low

CVSS3

4.3 Medium

CVSS2