Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-01910

Опубликовано: 10 мар. 2021
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость программного средства для фильтрации спама Apache SpamAssassin связана с отсутствием мер по нейтрализации специальных элементов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Вендор

Red Hat Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
Fedora Project
Apache Software Foundation
АО «ИВК»
АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
РЕД ОС
Fedora
SpamAssassin
Альт 8 СП
ОСОН ОСнова Оnyx

Версия ПО

7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
7.2 Муром (РЕД ОС)
32 (Fedora)
20.04 LTS (Ubuntu)
33 (Fedora)
34 (Fedora)
до 3.4.5 (SpamAssassin)
- (Альт 8 СП)
до 2.5 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «Ред Софт» РЕД ОС 7.2 Муром
Fedora Project Fedora 32
Canonical Ltd. Ubuntu 20.04 LTS
Fedora Project Fedora 33
Fedora Project Fedora 34
АО «ИВК» Альт 8 СП -
АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache SpamAssassin:
Обновление программного обеспечения до 3.4.5~pre1-3 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета spamassassin) до 3.4.2-1~deb9u4 или более поздней версии
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2020-1946
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7V2SBVTKVLFFT36ECJQ7TQ7KAQCQZDRZ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JFBFRIG5TX23NF4ND6OAKKY7I6TLRCCP/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NKAXYBKBMQOLIW6UKASJCAZRBOIYS4RL/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4899-1
Для РЕД ОС:
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/
Для ОСОН ОСнова Оnyx:Обновление программного обеспечения spamassassin до версии 3.4.2-1+deb10u3
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 81%
0.01495
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
больше 4 лет назад

In Apache SpamAssassin before 3.4.5, malicious rule configuration (.cf) files can be configured to run system commands without any output or errors. With this, exploits can be injected in a number of scenarios. In addition to upgrading to SA version 3.4.5, users should only use update channels or 3rd party .cf files from trusted places.

CVSS3: 7.8
redhat
больше 4 лет назад

In Apache SpamAssassin before 3.4.5, malicious rule configuration (.cf) files can be configured to run system commands without any output or errors. With this, exploits can be injected in a number of scenarios. In addition to upgrading to SA version 3.4.5, users should only use update channels or 3rd party .cf files from trusted places.

CVSS3: 9.8
nvd
больше 4 лет назад

In Apache SpamAssassin before 3.4.5, malicious rule configuration (.cf) files can be configured to run system commands without any output or errors. With this, exploits can be injected in a number of scenarios. In addition to upgrading to SA version 3.4.5, users should only use update channels or 3rd party .cf files from trusted places.

CVSS3: 9.8
debian
больше 4 лет назад

In Apache SpamAssassin before 3.4.5, malicious rule configuration (.cf ...

rocky
около 4 лет назад

Moderate: spamassassin security update

EPSS

Процентиль: 81%
0.01495
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2