BDU:2024-00775

Опубликовано: 10 дек. 2023

Источник: fstec

CVSS3: 8.1

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость функции eval() модуля ImageMath библиотеки для работы с изображениями Pillow связана с неверным управлением генерацией кода при обработке параметра environment. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «НТЦ ИТ РОСА»

АО «ИВК»

Uploadcare, LLC

АО "НППКТ"

Наименование ПО

РЕД ОС

Astra Linux Special Edition

РОСА Кобальт

Astra Linux Common Edition

АЛЬТ СП 10

Pillow

ОСОН ОСнова Оnyx

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

7.9 (РОСА Кобальт)

1.6 «Смоленск» (Astra Linux Common Edition)

- (АЛЬТ СП 10)

до 10.1.0 включительно (Pillow)

до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»

АО «ИВК» АЛЬТ СП 10 -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Pillow:

https://github.com/python-pillow/Pillow/releases

https://github.com/python-pillow/Pillow/commit/45c726fd4daa63236a8f3653530f297dc87b160a

https://pillow.readthedocs.io/en/stable/releasenotes/10.2.0.html#security

https://github.com/python-pillow/Pillow/pull/7655

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u4.osnova1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2392

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства:https://altsp.su/obnovleniya-bezopasnosti/

Для ОС Astra Linux:

обновить пакет pillow до 4.0.0-4+deb9u6 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-50447
CVE

EPSS

Процентиль: 73%

0.00754

Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ROS-20240411-05

CVSS3: 8.1

redos

почти 2 года назад

Уязвимость python3-pillow

CVE-2023-50447

CVSS3: 8.1

ubuntu

около 2 лет назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

redhat

около 2 лет назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

nvd

около 2 лет назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

debian

около 2 лет назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Executi ...

EPSS

Процентиль: 73%

0.00754

Низкий

8.1 High

CVSS3

7.6 High

CVSS2