BDU:2024-05843

Опубликовано: 14 июл. 2024

Источник: fstec

CVSS3: 8.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость модуля package_index библиотеки упрощения упаковки проектов setuptools связана с использованием функций, которые используются для загрузки пакетов с URL-адресов, предоставленных пользователями или полученных с серверов индексов пакетов, подвержены внедрению кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнять произвольные команды в системе

Вендор

ООО «Ред Софт»

АО «НТЦ ИТ РОСА»

АО «ИВК»

Python Software Foundation

ООО «РусБИТех-Астра»

Наименование ПО

РЕД ОС

РОСА Кобальт

ROSA Virtualization

АЛЬТ СП 10

setuptools

Astra Linux Special Edition

ROSA Virtualization 3.0

Версия ПО

7.3 (РЕД ОС)

7.9 (РОСА Кобальт)

2.1 (ROSA Virtualization)

- (АЛЬТ СП 10)

до 70.0.0 (setuptools)

1.8 (Astra Linux Special Edition)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО «НТЦ ИТ РОСА» ROSA Virtualization 2.1

АО «ИВК» АЛЬТ СП 10 -

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Для setuptools:

https://huntr.com/bounties/d6362117-ad57-4e83-951f-b8141c6e7ca5

https://github.com/pypa/setuptools/commit/88807c7062788254f654ea8c03427adc859321f0

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:

обновить пакет setuptools до 66.1.1-1+ci202409031440+astra1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2513

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2512

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2513

Для ОС РОСА "КОБАЛЬТ": https://abf.rosa.ru/advisories/ROSA-SA-2024-2512

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2024-2499

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2771

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-6345
CVE

EPSS

Процентиль: 46%

0.00227

Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-6345

CVSS3: 8.8

ubuntu

11 месяцев назад

A vulnerability in the package_index module of pypa/setuptools versions up to 69.1.1 allows for remote code execution via its download functions. These functions, which are used to download packages from URLs provided by users or retrieved from package index servers, are susceptible to code injection. If these functions are exposed to user-controlled inputs, such as package URLs, they can execute arbitrary commands on the system. The issue is fixed in version 70.0.

CVE-2024-6345

CVSS3: 8.8

redhat

11 месяцев назад

CVE-2024-6345

CVSS3: 8.8

nvd

11 месяцев назад

CVE-2024-6345

CVSS3: 8.8

msrc

8 месяцев назад

Описание отсутствует

CVE-2024-6345

CVSS3: 8.8

debian

11 месяцев назад

A vulnerability in the package_index module of pypa/setuptools version ...

EPSS

Процентиль: 46%

0.00227

Низкий

8.8 High

CVSS3

10 Critical

CVSS2