BDU:2023-05150

Опубликовано: 11 авг. 2023

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость компонентов clone/clone_from библиотеки Python для взаимодействия с git-репозиториями GitPython связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем внедрения специально сформированного URL-адреса в команду клонирования

Вендор

Canonical Ltd.

Сообщество свободного программного обеспечения

Novell Inc.

ООО «Ред Софт»

ООО «РусБИТех-Астра»

Fedora Project

Наименование ПО

Ubuntu

Debian GNU/Linux

openSUSE Tumbleweed

РЕД ОС

Astra Linux Special Edition

Fedora

GitPython

Версия ПО

14.04 ESM (Ubuntu)

10 (Debian GNU/Linux)

- (openSUSE Tumbleweed)

20.04 LTS (Ubuntu)

16.04 ESM (Ubuntu)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

22.04 LTS (Ubuntu)

37 (Fedora)

38 (Fedora)

18.04 ESM (Ubuntu)

23.04 (Ubuntu)

до 3.1.32 (GitPython)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Novell Inc. openSUSE Tumbleweed -

Canonical Ltd. Ubuntu 20.04 LTS

Canonical Ltd. Ubuntu 16.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Canonical Ltd. Ubuntu 22.04 LTS

Fedora Project Fedora 37

Fedora Project Fedora 38

Canonical Ltd. Ubuntu 18.04 ESM

Canonical Ltd. Ubuntu 23.04

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование систем обнаружения и предотвращения вторжений для блокирования возможных последствий эксплуатации уязвимости;

- использование средств межсетевого экранирования для ограничения удаленного доступа к недоверенным ресурсам (репозиториям);

- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.

Использование рекомендаций производителя:

Для GitPython:

https://github.com/gitpython-developers/GitPython/pull/1609

https://github.com/gitpython-developers/GitPython/commit/ca965ecc81853bca7675261729143f54e5bf4cdd

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-40267

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2023-40267.html

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AV5DV7GBLMOZT7U3Q4TDOJO5R6G3V6GH/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PF6AXUTC5BO7L2SBJMCVKJSPKWY52I5R/

Для Ubuntu:

https://ubuntu.com/security/notices/USN-6326-1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux Special Edition 1.7:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-40267
CVE

EPSS

Процентиль: 51%

0.00276

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20240611-13

CVSS3: 9.8

redos

около 1 года назад

Уязвимость python3-GitPython

CVE-2023-40267

CVSS3: 9.8

ubuntu

почти 2 года назад

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

CVE-2023-40267

CVSS3: 9.8

redhat

почти 2 года назад

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

CVE-2023-40267

CVSS3: 9.8

nvd

почти 2 года назад

GitPython before 3.1.32 does not block insecure non-multi options in clone and clone_from. NOTE: this issue exists because of an incomplete fix for CVE-2022-24439.

CVE-2023-40267

CVSS3: 9.8

debian

почти 2 года назад

GitPython before 3.1.32 does not block insecure non-multi options in c ...

EPSS

Процентиль: 51%

0.00276

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2