BDU:2024-00884

Опубликовано: 10 янв. 2024

Источник: fstec

CVSS3: 6.1

CVSS2: 6.4

EPSS Низкий

Описание

Уязвимость фильтра xmlattr шаблонизатора Jinja2 для языка программирования Python связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, провести атаку межсайтового скриптинга (XSS)

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

ООО «РусБИТех-Астра»

Fedora Project

АО «НТЦ ИТ РОСА»

АО «ИВК»

Pocoo

АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Red Hat Software Collections

РЕД ОС

Astra Linux Special Edition

Fedora

Red Hat Discovery

Red Hat Ansible Automation Platform

ROSA Virtualization

АЛЬТ СП 10

Jinja2

ОСОН ОСнова Оnyx

ROSA Virtualization 3.0

Версия ПО

8 (Red Hat Enterprise Linux)

10 (Debian GNU/Linux)

- (Red Hat Software Collections)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

9 (Red Hat Enterprise Linux)

4.7 (Astra Linux Special Edition)

38 (Fedora)

39 (Fedora)

- (Red Hat Discovery)

2 (Red Hat Ansible Automation Platform)

2.1 (ROSA Virtualization)

- (АЛЬТ СП 10)

до 3.1.3 (Jinja2)

до 2.10 (ОСОН ОСнова Оnyx)

1.8 (Astra Linux Special Edition)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 10

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

Red Hat Inc. Red Hat Enterprise Linux 9

ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Fedora Project Fedora 38

Fedora Project Fedora 39

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «ИВК» АЛЬТ СП 10 -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Jinja:

https://github.com/pallets/jinja/releases/tag/3.1.3

https://github.com/pallets/jinja/security/advisories/GHSA-h5c8-rqwp-cp95

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-22195

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2024-22195

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5XCWZD464AJJJUBOO7CMPXQ4ROBC6JX2/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DELCVUUYX75I5K4Q5WMJG4MUZJA6VAIP/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/O7YWRBX6JQCWC2XXCTZ55C7DPMGICCN3/

Для ОСОН ОСнова Оnyx (версия 2.10):

Обновление программного обеспечения jinja2 до версии 2.10-2+deb10u1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Astra Linux:

обновить пакет jinja2 до 2.10-2+deb10u1+ci202405161722+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2024-0830SE17

Для Astra Linux Special Edition 4.7 для архитектуры ARM:

Для ОС Astra Linux:

обновить пакет jinja2 до 3.1.2-1ubuntu1.1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2506

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2769

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-22195
CVE

EPSS

Процентиль: 27%

0.00093

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

ROS-20240902-04

CVSS3: 6.1

redos

11 месяцев назад

Уязвимость python3-jinja2

CVE-2024-22195

CVSS3: 5.4

ubuntu

больше 1 года назад

Jinja is an extensible templating engine. Special placeholders in the template allow writing code similar to Python syntax. It is possible to inject arbitrary HTML attributes into the rendered HTML template, potentially leading to Cross-Site Scripting (XSS). The Jinja `xmlattr` filter can be abused to inject arbitrary HTML attribute keys and values, bypassing the auto escaping mechanism and potentially leading to XSS. It may also be possible to bypass attribute validation checks if they are blacklist-based.

CVE-2024-22195

CVSS3: 5.4

redhat

больше 1 года назад

CVE-2024-22195

CVSS3: 5.4

nvd

больше 1 года назад

CVE-2024-22195

CVSS3: 6.1

msrc

5 месяцев назад

Описание отсутствует

EPSS

Процентиль: 27%

0.00093

Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2