BDU:2024-00775

Опубликовано: 10 дек. 2023

Источник: fstec

CVSS3: 8.1

CVSS2: 7.6

EPSS Низкий

Описание

Уязвимость функции eval() модуля ImageMath библиотеки для работы с изображениями Pillow связана с неверным управлением генерацией кода при обработке параметра environment. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО «НТЦ ИТ РОСА»

Uploadcare, LLC

АО "НППКТ"

Наименование ПО

РЕД ОС

Astra Linux Special Edition

РОСА Кобальт

Pillow

ОСОН ОСнова Оnyx

Версия ПО

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

4.7 (Astra Linux Special Edition)

7.9 (РОСА Кобальт)

до 10.1.0 включительно (Pillow)

до 2.10 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Pillow:

https://github.com/python-pillow/Pillow/releases

https://github.com/python-pillow/Pillow/commit/45c726fd4daa63236a8f3653530f297dc87b160a

https://pillow.readthedocs.io/en/stable/releasenotes/10.2.0.html#security

https://github.com/python-pillow/Pillow/pull/7655

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u4.osnova1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2392

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17

Для ОС Astra Linux:

обновить пакет pillow до 5.4.1-2+deb10u6.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-50447
CVE

EPSS

Процентиль: 67%

0.00554

Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

ROS-20240411-05

CVSS3: 8.1

redos

около 1 года назад

Уязвимость python3-pillow

CVE-2023-50447

CVSS3: 8.1

ubuntu

больше 1 года назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

redhat

больше 1 года назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

nvd

больше 1 года назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Execution via the environment parameter, a different vulnerability than CVE-2022-22817 (which was about the expression parameter).

CVE-2023-50447

CVSS3: 8.1

debian

больше 1 года назад

Pillow through 10.1.0 allows PIL.ImageMath.eval Arbitrary Code Executi ...

EPSS

Процентиль: 67%

0.00554

Низкий

8.1 High

CVSS3

7.6 High

CVSS2