Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-05230

Опубликовано: 01 фев. 2022
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Низкий

Описание

Уязвимость инструмента для html-шаблонизации jinja2 интерпретатора языка программирования Python связана c некорректной зачисткой или освобождением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»
Fedora Project
IBM Corp.
Сообщество свободного программного обеспечения
АО «НТЦ ИТ РОСА»

Наименование ПО

Astra Linux Special Edition
Fedora
IBM Qradar Advisor
jinja
ROSA Virtualization

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
33 (Fedora)
1.7 (Astra Linux Special Edition)
до 2.6.2 (IBM Qradar Advisor)
до 2.11.3 (jinja)
4.7 (Astra Linux Special Edition)
2.1 (ROSA Virtualization)

Тип ПО

Операционная система
Программное средство защиты
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Fedora Project Fedora 33
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для jinja2:
https://github.com/pallets/jinja/pull/1343
Для программных продуктов IBM Corp.:
https://www.ibm.com/support/pages/node/6507113
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PVAKCOO7VBVUBM3Q6CBBTPBFNP5NDXF4/
Для ОС Astra Linux Special Edition 1.7:
обновить пакет jinja2 до 2.10-2+ci202309131444+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
Для Astra Linux 1.6 «Смоленск»:
обновить пакет jinja2 до 2.8-1+ci202309191157+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для Astra Linux Special Edition 4.7:
обновить пакет jinja2 до 2.10-2+ci202309131444+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2506
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2506

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 43%
0.00207
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 5.3
ubuntu
больше 4 лет назад

This affects the package jinja2 from 0.0.0 and before 2.11.3. The ReDoS vulnerability is mainly due to the `_punctuation_re regex` operator and its use of multiple wildcards. The last wildcard is the most exploitable as it searches for trailing punctuation. This issue can be mitigated by Markdown to format user content instead of the urlize filter, or by implementing request timeouts and limiting process memory.

CVSS3: 7.5
redhat
больше 4 лет назад

This affects the package jinja2 from 0.0.0 and before 2.11.3. The ReDoS vulnerability is mainly due to the `_punctuation_re regex` operator and its use of multiple wildcards. The last wildcard is the most exploitable as it searches for trailing punctuation. This issue can be mitigated by Markdown to format user content instead of the urlize filter, or by implementing request timeouts and limiting process memory.

CVSS3: 5.3
nvd
больше 4 лет назад

This affects the package jinja2 from 0.0.0 and before 2.11.3. The ReDoS vulnerability is mainly due to the `_punctuation_re regex` operator and its use of multiple wildcards. The last wildcard is the most exploitable as it searches for trailing punctuation. This issue can be mitigated by Markdown to format user content instead of the urlize filter, or by implementing request timeouts and limiting process memory.

CVSS3: 5.3
msrc
около 3 лет назад

Описание отсутствует

CVSS3: 5.3
debian
больше 4 лет назад

This affects the package jinja2 from 0.0.0 and before 2.11.3. The ReDo ...

EPSS

Процентиль: 43%
0.00207
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2