BDU:2023-02445

Опубликовано: 22 дек. 2022

Источник: fstec

CVSS3: 5.9

CVSS2: 5.4

EPSS Низкий

Описание

Уязвимость инструментов установки пакетов Python Packaging Authority связана с недостаточной проверкой ввода при обработке содержимого HTML. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные и выполнить атаку типа «отказ в обслуживании» с помощью регулярных выражений

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

Fedora Project

АО «НТЦ ИТ РОСА»

Python Software Foundation

АО «ИВК»

Project Harbor

Наименование ПО

РЕД ОС

Astra Linux Special Edition

Fedora

РОСА Кобальт

ROSA Virtualization

setuptools

АЛЬТ СП 10

harbor

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

36 (Fedora)

37 (Fedora)

7.9 (РОСА Кобальт)

2.1 (ROSA Virtualization)

до 65.5.1 (setuptools)

- (АЛЬТ СП 10)

2.7.0 (harbor)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Fedora Project Fedora 36

Fedora Project Fedora 37

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Python:

https://github.com/pypa/setuptools/commit/43a9c9bfa6aa626ec2a22540bea28d2ca77964be

Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ADES3NLOE5QJKBLGNZNI2RGVOSQXA37R/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YNA2BAH2ACBZ4TVJZKFLCR7L23BG5C3H/

Компенсирующие меры для Harbor :

- отключение/удаление неиспользуемых учетных записей пользователей;

- минимизация пользовательских привилегий;

- использование антивирусных средств защиты;

- контроль действий пользователей.

Для ОС Astra Linux Special Edition 1.7:

обновить пакет python-setuptools до 40.8.0-1+ci202309141723+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2512

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2500

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2499

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-40897
CVE

EPSS

Процентиль: 54%

0.00318

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVE-2022-40897

CVSS3: 5.9

ubuntu

больше 2 лет назад

Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remote attackers to cause a denial of service via HTML in a crafted package or custom PackageIndex page. There is a Regular Expression Denial of Service (ReDoS) in package_index.py.

CVE-2022-40897

CVSS3: 5.9

redhat

больше 2 лет назад

CVE-2022-40897

CVSS3: 5.9

nvd

больше 2 лет назад

CVE-2022-40897

CVSS3: 5.9

msrc

больше 2 лет назад

Описание отсутствует

CVE-2022-40897

CVSS3: 5.9

debian

больше 2 лет назад

Python Packaging Authority (PyPA) setuptools before 65.5.1 allows remo ...

EPSS

Процентиль: 54%

0.00318

Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2