Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-03488

Опубликовано: 04 июл. 2021
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Средний

Описание

Уязвимость синтаксического анализатора PyYAML связана с недостаточной проверкой введенных пользователем данных при обработке ненадежных файлов YAML с помощью метода full_load или загрузчика FullLoader. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специального сформированного файла

Вендор

ООО «Ред Софт»
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО "НППКТ"

Наименование ПО

РЕД ОС
PyYAML
Astra Linux Special Edition
ОСОН ОСнова Оnyx

Версия ПО

7.2 Муром (РЕД ОС)
от 5.1 до 5.3.1 (PyYAML)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.12 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.2 Муром
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.12

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Ред ОС:
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/
Для PyYAML:
Обновление программного обеспечения до актуальной версии
Обновление программного обеспечения pyyaml до версии 5.3.1-5osnova2u1
Для ОС Astra Linux:
обновить пакет pyyaml до 5.1.2-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux:
обновить пакет pyyaml до 5.1.2-1+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 94%
0.13704
Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
почти 5 лет назад

A vulnerability was discovered in the PyYAML library in versions before 5.4, where it is susceptible to arbitrary code execution when it processes untrusted YAML files through the full_load method or with the FullLoader loader. Applications that use the library to process untrusted input may be vulnerable to this flaw. This flaw allows an attacker to execute arbitrary code on the system by abusing the python/object/new constructor. This flaw is due to an incomplete fix for CVE-2020-1747.

CVSS3: 9.8
redhat
больше 5 лет назад

A vulnerability was discovered in the PyYAML library in versions before 5.4, where it is susceptible to arbitrary code execution when it processes untrusted YAML files through the full_load method or with the FullLoader loader. Applications that use the library to process untrusted input may be vulnerable to this flaw. This flaw allows an attacker to execute arbitrary code on the system by abusing the python/object/new constructor. This flaw is due to an incomplete fix for CVE-2020-1747.

CVSS3: 9.8
nvd
почти 5 лет назад

A vulnerability was discovered in the PyYAML library in versions before 5.4, where it is susceptible to arbitrary code execution when it processes untrusted YAML files through the full_load method or with the FullLoader loader. Applications that use the library to process untrusted input may be vulnerable to this flaw. This flaw allows an attacker to execute arbitrary code on the system by abusing the python/object/new constructor. This flaw is due to an incomplete fix for CVE-2020-1747.

CVSS3: 9.8
msrc
около 2 лет назад

Описание отсутствует

CVSS3: 9.8
debian
почти 5 лет назад

A vulnerability was discovered in the PyYAML library in versions befor ...

EPSS

Процентиль: 94%
0.13704
Средний

9.8 Critical

CVSS3

10 Critical

CVSS2