BDU:2023-02444

Опубликовано: 09 июл. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость библиотеки шаблонов Sqlalchemy mako Python связана с недостаточной проверкой ввода при обработке регулярных выражений в классе Lexer. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные и выполнить атаку типа «отказ в обслуживании» с помощью регулярных выражений

Вендор

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО "НППКТ"

Python Software Foundation

АО «ИВК»

Наименование ПО

Debian GNU/Linux

РЕД ОС

Astra Linux Special Edition

ОСОН ОСнова Оnyx

mako

АЛЬТ СП 10

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

до 2.6 (ОСОН ОСнова Оnyx)

до 1.2.2 (mako)

- (АЛЬТ СП 10)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Python:

https://pyup.io/posts/pyup-discovers-redos-vulnerabilities-in-top-python-packages/

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-40023

Для ОСОН ОСнова Оnyx

Обновление программного обеспечения mako до версии 1.0.7+ds1-1+deb10u1

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux Special Edition 1.7:

обновить пакет mako до 1.0.7+ds1-1+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-40023
CVE

EPSS

Процентиль: 66%

0.00529

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2022-40023

CVSS3: 7.5

ubuntu

почти 3 года назад

Sqlalchemy mako before 1.2.2 is vulnerable to Regular expression Denial of Service when using the Lexer class to parse. This also affects babelplugin and linguaplugin.

CVE-2022-40023

CVSS3: 7.5

redhat

почти 3 года назад

Sqlalchemy mako before 1.2.2 is vulnerable to Regular expression Denial of Service when using the Lexer class to parse. This also affects babelplugin and linguaplugin.

CVE-2022-40023

CVSS3: 7.5

nvd

почти 3 года назад

Sqlalchemy mako before 1.2.2 is vulnerable to Regular expression Denial of Service when using the Lexer class to parse. This also affects babelplugin and linguaplugin.

CVE-2022-40023

CVSS3: 7.5

msrc

почти 3 года назад

Описание отсутствует

CVE-2022-40023

CVSS3: 7.5

debian

почти 3 года назад

Sqlalchemy mako before 1.2.2 is vulnerable to Regular expression Denia ...

EPSS

Процентиль: 66%

0.00529

Низкий

7.5 High

CVSS3

7.8 High

CVSS2