Описание
Уязвимость компонента urllib.parse интерпретатора языка программирования Python связана с недостаточной проверкой входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обходить блокировки URL-адресов, начинающийся с пустых символов
Вендор
ООО «РусБИТех-Астра»
ООО «Ред Софт»
АО «ИВК»
Fedora Project
АО «НТЦ ИТ РОСА»
Python Software Foundation
Project Harbor
АО "НППКТ"
Наименование ПО
Astra Linux Special Edition
РЕД ОС
Альт 8 СП
Fedora
РОСА ХРОМ
Python
АЛЬТ СП 10
harbor
ОСОН ОСнова Оnyx
Версия ПО
1.6 «Смоленск» (Astra Linux Special Edition)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
36 (Fedora)
37 (Fedora)
4.7 (Astra Linux Special Edition)
38 (Fedora)
12.4 (РОСА ХРОМ)
до 3.11.4 включительно (Python)
до 3.7.17 (Python)
от 3.8.0 до 3.8.17 (Python)
от 3.9.0 до 3.9.17 (Python)
от 3.10.0 до 3.10.12 (Python)
от 3.11.0 до 3.11.4 (Python)
- (АЛЬТ СП 10)
2.7.0 (harbor)
до 2.13 (ОСОН ОСнова Оnyx)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Fedora Project Fedora 36
Fedora Project Fedora 37
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Fedora Project Fedora 38
АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4
АО «ИВК» АЛЬТ СП 10 -
АО "НППКТ" ОСОН ОСнова Оnyx до 2.13
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Python:
https://github.com/python/cpython/pull/99421
https://github.com/python/cpython/issues/102153
Для ОС Astra Linux Special Edition 1.7:
- обновить пакет python2.7 до 2.7.16-2+deb10u2+ci202306261853+astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
- обновить пакет python3.7 до 3.7.3-2+deb10u4+ci202304051759+astra6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
Для Astra Linux 1.6 «Смоленск»:
обновить пакет python2.7 до 2.7.13-2+deb9u6+ci202306271056+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры для Harbor :
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для Astra Linux Special Edition 4.7:
- обновить пакет python2.7 до 2.7.16-2+deb10u2+ci202306261853+astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
- обновить пакет python3.7 до 3.7.3-2+deb10u5+ci202306301731+astra9 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-0416SE47
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2676
Для операционной системы РОСА ХРОМ: https://abf.rosa.ru/advisories/ROSA-SA-2025-2646
Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 77%
0.0105
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
ubuntu
больше 2 лет назад
An issue in the urllib.parse component of Python before 3.11.4 allows attackers to bypass blocklisting methods by supplying a URL that starts with blank characters.
CVSS3: 7.5
redhat
больше 2 лет назад
An issue in the urllib.parse component of Python before 3.11.4 allows attackers to bypass blocklisting methods by supplying a URL that starts with blank characters.
CVSS3: 7.5
nvd
больше 2 лет назад
An issue in the urllib.parse component of Python before 3.11.4 allows attackers to bypass blocklisting methods by supplying a URL that starts with blank characters.
EPSS
Процентиль: 77%
0.0105
Низкий
7.5 High
CVSS3
7.8 High
CVSS2