BDU:2024-10842

Опубликовано: 23 сент. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Низкий

Описание

Уязвимость сценариев активации конструктора виртуальной среды Python virtualenv связана с непринятием мер по нейтрализации специальных элементов, используемых в команде операционной системы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольные команды

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Red Hat OpenShift Dev Spaces

virtualenv

Red Hat OpenShift Lightspeed

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

- (Red Hat OpenShift Dev Spaces)

до 20.26.6 (virtualenv)

- (Red Hat OpenShift Lightspeed)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для virtualenv:

https://github.com/pypa/virtualenv/releases/tag/20.26.6

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2024-53899

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2024-53899

Компенсирующие меры:

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-53899
CVE

EPSS

Процентиль: 67%

0.00561

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

ROS-20250114-11

CVSS3: 9.8

redos

5 месяцев назад

Уязвимость python3-virtualenv

CVE-2024-53899

CVSS3: 7.8

ubuntu

7 месяцев назад

virtualenv before 20.26.6 allows command injection through the activation scripts for a virtual environment. Magic template strings are not quoted correctly when replacing. NOTE: this is not the same as CVE-2024-9287.

CVE-2024-53899

CVSS3: 7.8

redhat

7 месяцев назад

CVE-2024-53899

CVSS3: 7.8

nvd

7 месяцев назад

CVE-2024-53899

CVSS3: 7.8

msrc

6 месяцев назад

Описание отсутствует

EPSS

Процентиль: 67%

0.00561

Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2