BDU:2024-04920

Опубликовано: 21 мая 2024

Источник: fstec

CVSS3: 6.3

CVSS2: 6.5

EPSS Низкий

Описание

Уязвимость компонента JSON Handler библиотеки PyMySQL для языка программирования Python связана с отсутствием экранирования ключей процедурой escape_dict. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированному доступу к данным, фальсификации данных или выполнить произвольный код на внутреннем сервере базы данных

Вендор

ООО «Ред Софт»

Fedora Project

Сообщество свободного программного обеспечения

АО "НППКТ"

Наименование ПО

РЕД ОС

Fedora

PyMySQL

ОСОН ОСнова Оnyx

Версия ПО

7.3 (РЕД ОС)

39 (Fedora)

40 (Fedora)

до 1.1.1 (PyMySQL)

до 2.11 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Fedora Project Fedora 39

Fedora Project Fedora 40

АО "НППКТ" ОСОН ОСнова Оnyx до 2.11

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,3)

Возможные меры по устранению уязвимости

Для PyMySQL:

https://github.com/PyMySQL/PyMySQL/releases/tag/v1.1.1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/23VXBV34GFRICCVYZ6KFMSSWY5UEXCF5/

https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/35VOJS3SRJNLQIO7YTZFNM6RWHIHWTMK/

Для ОСОН ОСнова Оnyx (2.11):

Обновление программного обеспечения python-pymysql до версии 0.9.3-1+deb10u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-36039
CVE

EPSS

Процентиль: 20%

0.00062

Низкий

6.3 Medium

CVSS3

6.5 Medium

CVSS2

Связанные уязвимости

CVE-2024-36039

CVSS3: 6.3

ubuntu

около 1 года назад

PyMySQL through 1.1.0 allows SQL injection if used with untrusted JSON input because keys are not escaped by escape_dict.

CVE-2024-36039

CVSS3: 6.3

redhat

около 1 года назад

PyMySQL through 1.1.0 allows SQL injection if used with untrusted JSON input because keys are not escaped by escape_dict.

CVE-2024-36039

CVSS3: 6.3

nvd

около 1 года назад

PyMySQL through 1.1.0 allows SQL injection if used with untrusted JSON input because keys are not escaped by escape_dict.

CVE-2024-36039

CVSS3: 6.3

msrc

3 месяца назад

Описание отсутствует

CVE-2024-36039

CVSS3: 6.3

debian

около 1 года назад

PyMySQL through 1.1.0 allows SQL injection if used with untrusted JSON ...

EPSS

Процентиль: 20%

0.00062

Низкий

6.3 Medium

CVSS3

6.5 Medium

CVSS2