BDU:2022-06046

Опубликовано: 23 янв. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость функций twited.web.RedirectAgent, twisted.web.BrowserLikeRedirectAgent сетевого фреймворка Twisted связана с раскрытием файлов cookie и заголовков авторизации при перенаправлении между источниками. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

ООО «РусБИТех-Астра»

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Glyph Lefkowitz

АО "НППКТ"

АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition

Debian GNU/Linux

Astra Linux Special Edition для «Эльбрус»

РЕД ОС

Twisted

ОСОН ОСнова Оnyx

ОС ОН «Стрелец»

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)

10 (Debian GNU/Linux)

8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

от 11.1.0 до 22.1.0 (Twisted)

4.7 (Astra Linux Special Edition)

до 2.5.2 (ОСОН ОСнова Оnyx)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5.2

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

Для Twisted:

использование рекомендаций производителя: https://github.com/advisories/GHSA-92x2-jw7w-xvvx

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-21712

Для ОС Astra Linux:

использование рекомендаций производителя:

https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения twisted до версии 20.3.0-7+deb11u1

Для Astra Linux Special Edition 4.7: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-1121SE47

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:

обновить пакет twisted до 16.6.0-2+deb9u3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:

Обновление программного обеспечения twisted до версии 16.6.0-2+deb9u3

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-21712
CVE

EPSS

Процентиль: 47%

0.00241

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20250922-08

CVSS3: 8.3

redos

4 месяца назад

Множественные уязвимости python3-twisted

CVE-2022-21712

CVSS3: 7.5

ubuntu

почти 4 года назад

twisted is an event-driven networking engine written in Python. In affected versions twisted exposes cookies and authorization headers when following cross-origin redirects. This issue is present in the `twited.web.RedirectAgent` and `twisted.web. BrowserLikeRedirectAgent` functions. Users are advised to upgrade. There are no known workarounds.

CVE-2022-21712

CVSS3: 7.5

redhat

почти 4 года назад

CVE-2022-21712

CVSS3: 7.5

nvd

почти 4 года назад

CVE-2022-21712

CVSS3: 7.5

msrc

почти 4 года назад

Cookie and header exposure in twisted

EPSS

Процентиль: 47%

0.00241

Низкий

7.5 High

CVSS3

7.8 High

CVSS2