BDU:2022-00756

Опубликовано: 12 дек. 2021

Источник: fstec

CVSS3: 8.2

CVSS2: 8.5

EPSS Низкий

Описание

Уязвимость реализации модуля Class Cleaner библиотеки для обработки разметки XML и HTML Lxml связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки с помощью специально созданных SVG-файлов

Вендор

Сообщество свободного программного обеспечения

Canonical Ltd.

ООО «РусБИТех-Астра»

Red Hat Inc.

Fedora Project

ООО «Ред Софт»

Stefan Behnel

АО «ИВК»

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux

Ubuntu

Astra Linux Special Edition

Red Hat Enterprise Linux

Red Hat Satellite

Red Hat Software Collections

Astra Linux Special Edition для «Эльбрус»

Ansible Tower

Fedora

РЕД ОС

Ansible Automation Platform

Lxml

Red Hat Update Infrastructure for Cloud Providers

Альт 8 СП

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8 (Red Hat Enterprise Linux)

14.04 ESM (Ubuntu)

6.0 (Red Hat Satellite)

10 (Debian GNU/Linux)

- (Red Hat Software Collections)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

20.04 LTS (Ubuntu)

3 (Ansible Tower)

21.04 (Ubuntu)

34 (Fedora)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

35 (Fedora)

21.10 (Ubuntu)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

1.2 (Ansible Automation Platform)

до 4.6.5 (Lxml)

3 (Red Hat Update Infrastructure for Cloud Providers)

2.0 (Ansible Automation Platform)

- (Альт 8 СП)

4.7 (Astra Linux Special Edition)

до 2.4.2 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 8

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 21.04

Fedora Project Fedora 34

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Fedora Project Fedora 35

Canonical Ltd. Ubuntu 21.10

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО «ИВК» Альт 8 СП -

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Lxml:

https://github.com/lxml/lxml/commit/a3eacbc0dcf1de1c822ec29fb7d090a4b1712a9c#diff-59130575b4fb2932c957db2922977d7d89afb0b2085357db1a14615a2fcad776

https://github.com/advisories/GHSA-55x5-fj6c-h6m8

https://github.com/lxml/lxml/blob/lxml-4.6.5/CHANGES.txt

Для Ред ОС:

https://redos.red-soft.ru/support/secure/uyazvimosti/uyazvimost-biblioteki-lxml-cve-2021-43818/

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/TUIS2KE3HZ2AAQKXFLTJFZPP2IFHJTC7/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/V2XMOM5PFT6U5AAXY6EFNT5JZCKKHK2V/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WZGNET2A4WGLSUXLBFYKNC5PXHQMI3I7/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ZQ4SPKJX3RRJK4UWA6FXCRHD2TVRQI44/

Для Debian:

https://www.debian.org/security/2022/dsa-5043

https://lists.debian.org/debian-lts-announce/2021/12/msg00037.html

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2021-43818

Для Ubuntu:

https://ubuntu.com/security/notices/USN-5225-1

Для ОС Astra Linux:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для ОСОН Основа:

Обновление программного обеспечения lxml до версии 4.3.2-1+deb10u4

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет lxml до 3.7.1-1+deb9u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения lxml до версии 3.7.1-1+deb9u5

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-43818
CVE

EPSS

Процентиль: 86%

0.03013

Низкий

8.2 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

ROS-20220125-14

redos

больше 3 лет назад

Уязвимость библиотеки Lxml

CVE-2021-43818

CVSS3: 8.2

ubuntu

больше 3 лет назад

lxml is a library for processing XML and HTML in the Python language. Prior to version 4.6.5, the HTML Cleaner in lxml.html lets certain crafted script content pass through, as well as script content in SVG files embedded using data URIs. Users that employ the HTML cleaner in a security relevant context should upgrade to lxml 4.6.5 to receive a patch. There are no known workarounds available.

CVE-2021-43818

CVSS3: 8.8

redhat

больше 3 лет назад

CVE-2021-43818

CVSS3: 8.2

nvd

больше 3 лет назад

CVE-2021-43818

CVSS3: 7.1

msrc

больше 3 лет назад

Описание отсутствует

EPSS

Процентиль: 86%

0.03013

Низкий

8.2 High

CVSS3

8.5 High

CVSS2