BDU:2023-04394

Опубликовано: 21 нояб. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость утилиты командной строки для преобразования HTML-файлов в PDF формат wkhtmltopdf связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть конфиденциальную информацию

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Наименование ПО

Debian GNU/Linux

Astra Linux Special Edition

Astra Linux Common Edition

wkhtmltopdf

Версия ПО

10 (Debian GNU/Linux)

1.7 (Astra Linux Special Edition)

1.6 «Смоленск» (Astra Linux Common Edition)

до 0.12.5 включительно (wkhtmltopdf)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для wkhtmltopdf:

https://github.com/wkhtmltopdf/wkhtmltopdf/issues/4536

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2022/10/msg00027.html

Для ОС Astra Linux Special Edition 1.7:

обновить пакет wkhtmltopdf до 0.12.5-1+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD

Для ОС Astra Linux:

обновить пакет wkhtmltopdf до 0.12.3.2-3+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-21365
CVE

EPSS

Процентиль: 63%

0.00457

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2020-21365

CVSS3: 7.5

ubuntu

больше 3 лет назад

Directory traversal vulnerability in wkhtmltopdf through 0.12.5 allows remote attackers to read local files and disclose sensitive information via a crafted html file running with the default configurations.

CVE-2020-21365

CVSS3: 7.5

nvd

больше 3 лет назад

CVE-2020-21365

CVSS3: 7.5

debian

больше 3 лет назад

Directory traversal vulnerability in wkhtmltopdf through 0.12.5 allows ...

GHSA-36cg-hvm7-mhwp

CVSS3: 7.5

github

больше 3 лет назад

EPSS

Процентиль: 63%

0.00457

Низкий

7.5 High

CVSS3

7.8 High

CVSS2