BDU:2024-08943

Опубликовано: 03 сент. 2024

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость модуля tarfile интерпретатора языка программирования Python (CPython) связана с некорректным синтаксическим анализом заголовка файла. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

АО «ИВК»

ООО «РусБИТех-Астра»

Python Software Foundation

АО "НППКТ"

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

Альт 8 СП

Astra Linux Special Edition

CPython

Red Hat Enterprise Linux AI

ОСОН ОСнова Оnyx

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

7.7 Advanced Update Support (Red Hat Enterprise Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

- (Альт 8 СП)

9 (Red Hat Enterprise Linux)

8.8 Extended Update Support (Red Hat Enterprise Linux)

9.2 Extended Update Support (Red Hat Enterprise Linux)

9.0 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.6 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.6 Telecommunications Update Service (Red Hat Enterprise Linux)

8.6 Advanced Mission Critical Update Support (Red Hat Enterprise Linux)

1.8 (Astra Linux Special Edition)

от 3.10.0 до 3.10.15 (CPython)

от 3.11.0 до 3.11.10 (CPython)

от 3.12.0 до 3.12.6 (CPython)

от 3.13.0 до 3.13.0rc2 (CPython)

- (Red Hat Enterprise Linux AI)

до 2.13 (ОСОН ОСнова Оnyx)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Red Hat Inc. Red Hat Enterprise Linux 7.7 Advanced Update Support

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

АО «ИВК» Альт 8 СП -

Red Hat Inc. Red Hat Enterprise Linux 9

Red Hat Inc. Red Hat Enterprise Linux 8.8 Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 9.2 Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 9.0 Update Services for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 8.6 Update Services for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 8.6 Telecommunications Update Service

Red Hat Inc. Red Hat Enterprise Linux 8.6 Advanced Mission Critical Update Support

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.8

Red Hat Inc. Red Hat Enterprise Linux AI -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.13

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Python:

https://github.com/python/cpython/commit/4eaf4891c12589e3c7bdad5f5b076e4c8392dd06

https://github.com/python/cpython/commit/743acbe872485dc18df4d8ab2dc7895187f062c4

https://github.com/python/cpython/commit/7d1f50cd92ff7e10a1c15a8f591dde8a6843a64d

https://github.com/python/cpython/commit/b4225ca91547aa97ed3aca391614afbb255bc877

https://github.com/python/cpython/commit/d449caf8a179e3b954268b3a88eb9170be3c8fbf

https://github.com/python/cpython/commit/ed3a49ea734ada357ff4442996fd4ae71d253373

https://github.com/python/cpython/issues/121285

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2024-6232

Компенсирующие меры:

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux:

обновить пакет python3.11 до 3.11.2-6+deb12u3astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD

Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-6232
CVE

EPSS

Процентиль: 71%

0.00716

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2024-6232

CVSS3: 7.5

ubuntu

10 месяцев назад

There is a MEDIUM severity vulnerability affecting CPython. Regular expressions that allowed excessive backtracking during tarfile.TarFile header parsing are vulnerable to ReDoS via specifically-crafted tar archives.

CVE-2024-6232

CVSS3: 7.5

redhat

10 месяцев назад

CVE-2024-6232

CVSS3: 7.5

nvd

10 месяцев назад

CVE-2024-6232

CVSS3: 7.5

msrc

9 месяцев назад

Описание отсутствует

CVE-2024-6232

CVSS3: 7.5

debian

10 месяцев назад

There is a MEDIUM severity vulnerability affecting CPython. Regul ...

EPSS

Процентиль: 71%

0.00716

Низкий

7.5 High

CVSS3

7.8 High

CVSS2