Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-09054

Опубликовано: 29 дек. 2018
Источник: fstec
CVSS3: 6.1
CVSS2: 6.4
EPSS Низкий

Описание

Уязвимость HTTP библиотеки для Python Urllib3 связана с использованием открытой переадресации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность

Вендор

Andrey Petrov
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО "НППКТ"

Наименование ПО

urllib3
Debian GNU/Linux
Astra Linux Special Edition для «Эльбрус»
Astra Linux Common Edition
ОСОН ОСнова Оnyx

Версия ПО

до 1.24.2 (urllib3)
10 (Debian GNU/Linux)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.6 «Смоленск» (Astra Linux Common Edition)
до 2.9 (ОСОН ОСнова Оnyx)

Тип ПО

Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Common Edition 1.6 «Смоленск»
АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Для Urllib3:
использование рекомендаций производителя: https://github.com/advisories/GHSA-gwvm-45gx-3cf8
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2018-25091
Для ОС Astra Linux:
обновить пакет python-urllib3 до 1.19.1-1+deb9u2+ci202406111900+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
Для ОС Astra Linux:
обновить пакет python-urllib3 до 1.19.1-1+deb9u2+ci202406111900+astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20241206SE81
Обновление программного обеспечения python-urllib3 до версии 1.24.1-1+deb10u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 48%
0.0025
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
больше 1 года назад

urllib3 before 1.24.2 does not remove the authorization HTTP header when following a cross-origin redirect (i.e., a redirect that differs in host, port, or scheme). This can allow for credentials in the authorization header to be exposed to unintended hosts or transmitted in cleartext. NOTE: this issue exists because of an incomplete fix for CVE-2018-20060 (which was case-sensitive).

CVSS3: 6.1
redhat
больше 1 года назад

urllib3 before 1.24.2 does not remove the authorization HTTP header when following a cross-origin redirect (i.e., a redirect that differs in host, port, or scheme). This can allow for credentials in the authorization header to be exposed to unintended hosts or transmitted in cleartext. NOTE: this issue exists because of an incomplete fix for CVE-2018-20060 (which was case-sensitive).

CVSS3: 6.1
nvd
больше 1 года назад

urllib3 before 1.24.2 does not remove the authorization HTTP header when following a cross-origin redirect (i.e., a redirect that differs in host, port, or scheme). This can allow for credentials in the authorization header to be exposed to unintended hosts or transmitted in cleartext. NOTE: this issue exists because of an incomplete fix for CVE-2018-20060 (which was case-sensitive).

CVSS3: 6.1
debian
больше 1 года назад

urllib3 before 1.24.2 does not remove the authorization HTTP header wh ...

CVSS3: 6.1
github
больше 1 года назад

Authorization Header forwarded on redirect

EPSS

Процентиль: 48%
0.0025
Низкий

6.1 Medium

CVSS3

6.4 Medium

CVSS2