Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-08730

Опубликовано: 04 нояб. 2023
Источник: fstec
CVSS3: 8.1
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость модуля urllib3 интерпретатора языка программирования Python связана с отсутствием защиты служебных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

ООО «РусБИТех-Астра»
Red Hat Inc.
Сообщество свободного программного обеспечения
Canonical Ltd.
ООО «Ред Софт»
АО «ИВК»
Fedora Project
АО «НТЦ ИТ РОСА»
Andrey Petrov
АО "НППКТ"

Наименование ПО

Astra Linux Special Edition
Red Hat Enterprise Linux
Debian GNU/Linux
Astra Linux Special Edition для «Эльбрус»
Red Hat Storage
Ubuntu
Red Hat Quay
РЕД ОС
Альт 8 СП
Red Hat OpenShift Container Platform
Red Hat Satellite
Fedora
Red Hat OpenShift Data Science (RHODS)
ROSA Virtualization
Red Hat OpenStack Platform
АЛЬТ СП 10
urllib3
ОСОН ОСнова Оnyx
ROSA Virtualization 3.0

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
3 (Red Hat Storage)
20.04 LTS (Ubuntu)
3 (Red Hat Quay)
16.04 ESM (Ubuntu)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
- (Альт 8 СП)
3.11 (Red Hat OpenShift Container Platform)
4 (Red Hat OpenShift Container Platform)
6 (Red Hat Satellite)
22.04 LTS (Ubuntu)
9 (Red Hat Enterprise Linux)
37 (Fedora)
4.7 (Astra Linux Special Edition)
38 (Fedora)
39 (Fedora)
- (Red Hat OpenShift Data Science (RHODS))
2.1 (ROSA Virtualization)
18.04 ESM (Ubuntu)
23.04 (Ubuntu)
17.1 (Red Hat OpenStack Platform)
- (АЛЬТ СП 10)
23.10 (Ubuntu)
до 1.26.17 (urllib3)
от 2.0.0 до 2.0.6 (urllib3)
до 2.9 (ОСОН ОСнова Оnyx)
3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система
Прикладное ПО информационных систем
ПО программно-аппаратного средства

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Canonical Ltd. Ubuntu 20.04 LTS
Canonical Ltd. Ubuntu 16.04 ESM
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
АО «ИВК» Альт 8 СП -
Canonical Ltd. Ubuntu 22.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 9
Fedora Project Fedora 37
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Fedora Project Fedora 38
Fedora Project Fedora 39
АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1
Canonical Ltd. Ubuntu 18.04 ESM
Canonical Ltd. Ubuntu 23.04
АО «ИВК» АЛЬТ СП 10 -
Canonical Ltd. Ubuntu 23.10
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9
АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для urllib3:
https://github.com/urllib3/urllib3/commit/01220354d389cd05474713f8c982d05c9b17aafb
https://github.com/urllib3/urllib3/commit/644124ecd0b6e417c527191f866daa05a5a2056d
https://github.com/urllib3/urllib3/security/advisories/GHSA-v845-jxx5-vc9f
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-43804
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5F5CUBAN5XMEBVBZPHFITBLMJV5FIJJ5/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/I3PR7C6RJ6JUBQKIJ644DMIJSUP36VDY/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NDAGZXYJ7H2G3SB47M453VQVNAWKAEJJ/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-6473-1
Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2023/10/msg00012.html
Для Astra Linux 1.6 «Смоленск»:
обновить пакет python-urllib3 до 1.19.1-1+deb9u1+ci202310171653+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20231214SE16
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python-urllib3 до версии 1.24.1-1+deb10u2
Для ОС Astra Linux Special Edition 1.7 архитектуры x86-64:
обновить пакет python-urllib3 до 1.25.8-1+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0212SE17
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для Astra Linux Special Edition 4.7 для архитектуры ARM:
обновить пакет python-urllib3 до 1.25.8-2+ci202405311436+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2024-1031SE47
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Для ОС Astra Linux:
обновить пакет python-urllib3 до 1.19.1-1+deb9u2+ci202406111900+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2497
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2772
Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2746

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 68%
0.00569
Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

redos логотип

ROS-20240405-02

CVSS3: 8.1
redos
около 1 года назад

Уязвимость python3-urllib3

redos логотип

ROS-20240412-04

CVSS3: 8.1
redos
около 1 года назад

Множественные уязвимости salt

ubuntu логотип

CVE-2023-43804

CVSS3: 5.9
ubuntu
больше 1 года назад

urllib3 is a user-friendly HTTP client library for Python. urllib3 doesn't treat the `Cookie` HTTP header special or provide any helpers for managing cookies over HTTP, that is the responsibility of the user. However, it is possible for a user to specify a `Cookie` header and unknowingly leak information via HTTP redirects to a different origin if that user doesn't disable redirects explicitly. This issue has been patched in urllib3 version 1.26.17 or 2.0.5.

redhat логотип

CVE-2023-43804

CVSS3: 5.9
redhat
больше 1 года назад

urllib3 is a user-friendly HTTP client library for Python. urllib3 doesn't treat the `Cookie` HTTP header special or provide any helpers for managing cookies over HTTP, that is the responsibility of the user. However, it is possible for a user to specify a `Cookie` header and unknowingly leak information via HTTP redirects to a different origin if that user doesn't disable redirects explicitly. This issue has been patched in urllib3 version 1.26.17 or 2.0.5.

nvd логотип

CVE-2023-43804

CVSS3: 5.9
nvd
больше 1 года назад

urllib3 is a user-friendly HTTP client library for Python. urllib3 doesn't treat the `Cookie` HTTP header special or provide any helpers for managing cookies over HTTP, that is the responsibility of the user. However, it is possible for a user to specify a `Cookie` header and unknowingly leak information via HTTP redirects to a different origin if that user doesn't disable redirects explicitly. This issue has been patched in urllib3 version 1.26.17 or 2.0.5.

EPSS

Процентиль: 68%
0.00569
Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Уязвимость BDU:2023-08730