BDU:2022-05838

Опубликовано: 30 янв. 2021

Источник: fstec

CVSS3: 6.5

CVSS2: 6.8

EPSS Низкий

Описание

Уязвимость класса AbstractBasicAuthHandler компонента urllib.request интерпретатора языка программирования Python связана с использованием неэффективного регулярного выражения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

Python Software Foundation

АО «НТЦ ИТ РОСА»

АО «НППКТ»

Наименование ПО

Astra Linux Special Edition

Debian GNU/Linux

Python

РОСА ХРОМ

ОСОН ОСнова Оnyx

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

до 3.6.14 (Python)

от 3.7.0 до 3.7.11 (Python)

от 3.9.0 до 3.9.5 (Python)

от 3.8.0 до 3.8.10 (Python)

4.7 (Astra Linux Special Edition)

12.4 (РОСА ХРОМ)

до 2.9 (ОСОН ОСнова Оnyx)

до 2.13 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «НППКТ» ОСОН ОСнова Оnyx до 2.9

АО «НППКТ» ОСОН ОСнова Оnyx до 2.13

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Для Python:

использование рекомендаций производителя: https://github.com/python/cpython/pull/24391

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-3733

Для ОС Astra Linux:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47

Для ОС Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD

Для ОС Astra Linux Special Edition для архитектуры ARM 4.7:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u5.osnova12

Для Astra Linux Special Edition 1.6 «Смоленск»::

- обновить пакет python2.7 до 2.7.13-2+deb9u9+ci202406111043+astra5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

- обновить пакет python3.5 до 3.5.3-1+deb9u5 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16

Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2646

Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-3733
CVE

EPSS

Процентиль: 92%

0.04799

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

ALT-PU-2022-1209

CVSS3: 6.5

altlinux

почти 5 лет назад

ALT-PU-2022-1209: package `python3` update to version 3.10.2-alt1

ALT-PU-2021-3010

CVSS3: 7.5

altlinux

около 5 лет назад

ALT-PU-2021-3010: package `python` update to version 2.7.18-alt8

ALT-PU-2021-1784

CVSS3: 9.8

altlinux

больше 5 лет назад

ALT-PU-2021-1784: package `python3` update to version 3.9.5-alt1

ALT-PU-2022-3044

CVSS3: 9.8

altlinux

почти 4 года назад

ALT-PU-2022-3044: package `python` update to version 2.7.18-alt10

CVE-2021-3733

CVSS3: 6.5

ubuntu

больше 4 лет назад

There's a flaw in urllib's AbstractBasicAuthHandler class. An attacker who controls a malicious HTTP server that an HTTP client (such as web browser) connects to, could trigger a Regular Expression Denial of Service (ReDOS) during an authentication request with a specially crafted payload that is sent by the server to the client. The greatest threat that this flaw poses is to application availability.

EPSS

Процентиль: 92%

0.04799

Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2