BDU:2026-00313

Опубликовано: 28 июл. 2025

Источник: fstec

CVSS3: 4.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость модуля zipfile интерпретатора языка программирования Python (CPython) связана с некорректной проверкой указанного индекса, положения или смещения во входных данных. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации

Вендор

Canonical Ltd.

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Python Software Foundation

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Debian GNU/Linux

РЕД ОС

Red Hat Enterprise Linux AI

CPython

Версия ПО

14.04 LTS (Ubuntu)

16.04 LTS (Ubuntu)

18.04 LTS (Ubuntu)

8 (Red Hat Enterprise Linux)

20.04 LTS (Ubuntu)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

22.04 LTS (Ubuntu)

9 (Red Hat Enterprise Linux)

24.04 LTS (Ubuntu)

- (Red Hat Enterprise Linux AI)

13 (Debian GNU/Linux)

25.10 (Ubuntu)

до 3.14 (CPython)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS

Canonical Ltd. Ubuntu 16.04 LTS

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8

Canonical Ltd. Ubuntu 20.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

Canonical Ltd. Ubuntu 22.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 9

Canonical Ltd. Ubuntu 24.04 LTS

Red Hat Inc. Red Hat Enterprise Linux AI -

Сообщество свободного программного обеспечения Debian GNU/Linux 13

Canonical Ltd. Ubuntu 25.10

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.1 составляет 4,3)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Python:

https://github.com/python/cpython/pull/139702

Для Ред ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2025-8291

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2025-8291

Для Ubuntu:

https://ubuntu.com/security/CVE-2025-8291

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2025-8291
CVE

EPSS

Процентиль: 32%

0.00127

Низкий

4.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

ROS-20251223-7310

CVSS3: 4.3

redos

около 1 месяца назад

Уязвимость python3.13

ROS-20251223-7309

CVSS3: 4.3

redos

около 1 месяца назад

Уязвимость python3.11

ROS-20251223-7308

CVSS3: 4.3

redos

около 1 месяца назад

Уязвимость python3.10

ROS-20251223-7307

CVSS3: 4.3

redos

около 1 месяца назад

Уязвимость python3

CVE-2025-8291

CVSS3: 4.3

ubuntu

4 месяца назад

The 'zipfile' module would not check the validity of the ZIP64 End of Central Directory (EOCD) Locator record offset value would not be used to locate the ZIP64 EOCD record, instead the ZIP64 EOCD record would be assumed to be the previous record in the ZIP archive. This could be abused to create ZIP archives that are handled differently by the 'zipfile' module compared to other ZIP implementations. Remediation maintains this behavior, but checks that the offset specified in the ZIP64 EOCD Locator record matches the expected value.

EPSS

Процентиль: 32%

0.00127

Низкий

4.3 Medium

CVSS3

5 Medium

CVSS2