Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-07321

Опубликовано: 30 окт. 2023
Источник: fstec
CVSS3: 5.3
CVSS2: 5
EPSS Низкий

Описание

Уязвимость программной платформы для веб-приложений Django связана с регулярными выражениями для обрезания текста, имеющих линейную сложность обратного пути, что может быть медленным. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании при определенных входных HTML-кодах

Вендор

ООО «РусБИТех-Астра»
Red Hat Inc.
Canonical Ltd.
ООО «Ред Софт»
АО «ИВК»
Django Software Foundation

Наименование ПО

Astra Linux Special Edition
Red Hat Storage
Ubuntu
РЕД ОС
Альт 8 СП
Red Hat Satellite
Red Hat OpenStack Platform
Red Hat Update Infrastructure for Cloud Providers
Red Hat Ansible Automation Platform
Django

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
3 (Red Hat Storage)
20.04 LTS (Ubuntu)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
6 (Red Hat Satellite)
22.04 LTS (Ubuntu)
16.2 (Red Hat OpenStack Platform)
4.7 (Astra Linux Special Edition)
16.1 (Red Hat OpenStack Platform)
4 (Red Hat Update Infrastructure for Cloud Providers)
18.04 ESM (Ubuntu)
23.04 (Ubuntu)
2.4 (Red Hat Ansible Automation Platform)
до 3.2.22 (Django)
до 4.1.12 (Django)
до 4.2.6 (Django)

Тип ПО

Операционная система
Прикладное ПО информационных систем
ПО программно-аппаратного средства
Сетевое программное средство

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Canonical Ltd. Ubuntu 20.04 LTS
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Canonical Ltd. Ubuntu 22.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Canonical Ltd. Ubuntu 18.04 ESM
Canonical Ltd. Ubuntu 23.04

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендацций:
Для Django:
https://www.djangoproject.com/weblog/2023/oct/04/security-releases/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-43665
Для Ubuntu:
https://ubuntu.com/security/notices/USN-6414-1
https://ubuntu.com/security/notices/USN-6414-2
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС Astra Linux:
обновить пакет python-django до 1:1.11.29-1+deb10u11+ci202404121704+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17
Для Astra Linux Special Edition 1.6 «Смоленск»::
обновить пакет python-django до 1:1.10.7-2+deb9u22+ci202408201751+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет python-django до 1:1.11.29-1+deb10u11+ci202404121704+astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 84%
0.0219
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
больше 1 года назад

In Django 3.2 before 3.2.22, 4.1 before 4.1.12, and 4.2 before 4.2.6, the django.utils.text.Truncator chars() and words() methods (when used with html=True) are subject to a potential DoS (denial of service) attack via certain inputs with very long, potentially malformed HTML text. The chars() and words() methods are used to implement the truncatechars_html and truncatewords_html template filters, which are thus also vulnerable. NOTE: this issue exists because of an incomplete fix for CVE-2019-14232.

CVSS3: 7.5
redhat
больше 1 года назад

In Django 3.2 before 3.2.22, 4.1 before 4.1.12, and 4.2 before 4.2.6, the django.utils.text.Truncator chars() and words() methods (when used with html=True) are subject to a potential DoS (denial of service) attack via certain inputs with very long, potentially malformed HTML text. The chars() and words() methods are used to implement the truncatechars_html and truncatewords_html template filters, which are thus also vulnerable. NOTE: this issue exists because of an incomplete fix for CVE-2019-14232.

CVSS3: 7.5
nvd
больше 1 года назад

In Django 3.2 before 3.2.22, 4.1 before 4.1.12, and 4.2 before 4.2.6, the django.utils.text.Truncator chars() and words() methods (when used with html=True) are subject to a potential DoS (denial of service) attack via certain inputs with very long, potentially malformed HTML text. The chars() and words() methods are used to implement the truncatechars_html and truncatewords_html template filters, which are thus also vulnerable. NOTE: this issue exists because of an incomplete fix for CVE-2019-14232.

CVSS3: 7.5
debian
больше 1 года назад

In Django 3.2 before 3.2.22, 4.1 before 4.1.12, and 4.2 before 4.2.6, ...

suse-cvrf
больше 1 года назад

Security update for python-Django1

EPSS

Процентиль: 84%
0.0219
Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Уязвимость BDU:2023-07321