BDU:2022-00353

Опубликовано: 04 янв. 2022

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость функция Storage.save() фреймворка для веб-приложений Django связана с неправильным ограничением имени пути ограниченным каталогом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации с помощью отправки приложению специально сформированного HTTP файла

Вендор

ООО «РусБИТех-Астра»

ООО «Ред Софт»

Django Software Foundation

АО "НППКТ"

Наименование ПО

Astra Linux Special Edition

РЕД ОС

Django

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

от 2.2 до 2.2.26 (Django)

от 3.2 до 3.2.11 (Django)

от 4.0 до 4.0.1 (Django)

4.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Django:

https://docs.djangoproject.com/en/4.0/releases/security/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Django:

https://docs.djangoproject.com/en/4.0/releases/security/

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения python-django до версии 2:2.2.26-1~deb11u1osnova0

Для ОС Astra Linux Special Edition 1.7:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD

Для Astra Linux 1.6 «Смоленск»:

обновить пакет python-django до 1:1.10.7-2+deb9u21 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-45452
CVE

EPSS

Процентиль: 47%

0.00238

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2021-45452

CVSS3: 5.3

ubuntu

больше 3 лет назад

Storage.save in Django 2.2 before 2.2.26, 3.2 before 3.2.11, and 4.0 before 4.0.1 allows directory traversal if crafted filenames are directly passed to it.

CVE-2021-45452

CVSS3: 7.4

redhat

больше 3 лет назад

Storage.save in Django 2.2 before 2.2.26, 3.2 before 3.2.11, and 4.0 before 4.0.1 allows directory traversal if crafted filenames are directly passed to it.

CVE-2021-45452

CVSS3: 5.3

nvd

больше 3 лет назад

Storage.save in Django 2.2 before 2.2.26, 3.2 before 3.2.11, and 4.0 before 4.0.1 allows directory traversal if crafted filenames are directly passed to it.

CVE-2021-45452

CVSS3: 5.3

debian

больше 3 лет назад

Storage.save in Django 2.2 before 2.2.26, 3.2 before 3.2.11, and 4.0 b ...

GHSA-jrh2-hc4r-7jwx

CVSS3: 5.3

github

больше 3 лет назад

Directory-traversal in Django

EPSS

Процентиль: 47%

0.00238

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2