Описание
Уязвимость клиентской библиотеки FTP (File Transfer Protocol) интерпретатора языка программирования Python, связана с недостаточной проверки введенных пользователем данных в библиотеке FTP (File Transfer Protocol) при использовании ее в PASV (пассивном) режиме. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, настроить вредоносный FTP-сервер, обманом заставить FTP-клиент на Python подключиться к заданному IP-адресу и порту, что может привести к сканированию портов FTP-клиентом
Вендор
Red Hat, Inc.
Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «РусБИТех-Астра»
Fedora Project
Python Software Foundation
ООО «Ред Софт»
ФССП России
АО «НППКТ»
Наименование ПО
Red Hat Enterprise Linux
Debian GNU/Linux
Ubuntu
Astra Linux Special Edition
Red Hat Software Collections
Fedora
Python
РЕД ОС
ОС ТД АИС ФССП России
ОСОН ОСнова Оnyx
Версия ПО
6 (Red Hat Enterprise Linux)
7 (Red Hat Enterprise Linux)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
14.04 ESM (Ubuntu)
10 (Debian GNU/Linux)
- (Red Hat Software Collections)
20.04 LTS (Ubuntu)
34 (Fedora)
16.04 ESM (Ubuntu)
от 3.9.0 до 3.9.3 (Python)
11 (Debian GNU/Linux)
35 (Fedora)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
ИК6 (ОС ТД АИС ФССП России)
до 3.6.14 (Python)
от 3.7.0 до 3.7.11 (Python)
от 3.8 до 3.8.9 (Python)
до 3.10.0 (Python)
4.7 (Astra Linux Special Edition)
до 2.6 (ОСОН ОСнова Оnyx)
до 2.9 (ОСОН ОСнова Оnyx)
до 2.13 (ОСОН ОСнова Оnyx)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Red Hat, Inc. Red Hat Enterprise Linux 6
Red Hat, Inc. Red Hat Enterprise Linux 7
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat, Inc. Red Hat Enterprise Linux 8
Canonical Ltd. Ubuntu 14.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 20.04 LTS
Fedora Project Fedora 34
Canonical Ltd. Ubuntu 16.04 ESM
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Fedora Project Fedora 35
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ФССП России ОС ТД АИС ФССП России ИК6
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НППКТ» ОСОН ОСнова Оnyx до 2.6
АО «НППКТ» ОСОН ОСнова Оnyx до 2.9
АО «НППКТ» ОСОН ОСнова Оnyx до 2.13
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Python:
https://github.com/python/cpython/commit/0ab152c6b5d95caa2dc1a30fa96e10258b5f188e
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-4189
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-4189
Для Ubuntu:
https://ubuntu.com/security/notices/USN-5342-1
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/CSD2YBXP3ZF44E44QMIIAR5VTO35KTRB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/UDBDBAU6HUPZHISBOARTXZ5GKHF2VH5U/
Для ОС ТД АИС ФССП России:
https://goslinux.fssp.gov.ru/2726972/
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16
Для Astra Linux Special Edition 4.7 (для архитектуры ARM):
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для Astra Linux Special Edition 1.7 архитектуры x86-64:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1011SE17MD
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python2.7 до версии 2.7.18-13.1osnova8u1
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u3osnova9u3
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u5.osnova12
Для Astra Linux Special Edition 1.6 «Смоленск»::
- обновить пакет python2.7 до 2.7.13-2+deb9u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
- обновить пакет python3.5 до 3.5.3-1+deb9u9+ci202403261641+astra7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 89%
0.03409
Низкий
6.1 Medium
CVSS3
6.4 Medium
CVSS2
Связанные уязвимости
CVSS3: 7.5
altlinux
больше 4 лет назад
ALT-PU-2022-1471: package `python` update to version 2.7.18-alt9
CVSS3: 6.5
altlinux
почти 5 лет назад
ALT-PU-2022-1209: package `python3` update to version 3.10.2-alt1
CVSS3: 6.1
altlinux
больше 5 лет назад
ALT-PU-2021-1596: package `python3` update to version 3.9.4-alt1
CVSS3: 9.8
altlinux
почти 4 года назад
ALT-PU-2022-3044: package `python` update to version 2.7.18-alt10
EPSS
Процентиль: 89%
0.03409
Низкий
6.1 Medium
CVSS3
6.4 Medium
CVSS2