CVE-2015-20107

Опубликовано: 13 апр. 2022

Источник: nvd

CVSS3: 7.6

CVSS2: 8

EPSS Низкий

Уязвимость внедрения команд оболочки через отсутствие экранирования в модуле mailcap в Python

Описание

В версиях Python (CPython) до 3.10.8 модуль mailcap не добавляет экранирующие символы в команды, найденные в системном файле mailcap. Это может позволить злоумышленникам внедрять команды оболочки в приложения, которые вызывают mailcap.findmatch с недоверенными данными (если отсутствует верификация предоставленных пользователем имён файлов или аргументов).

Затронутые версии ПО

Все релизы Python (CPython) до 3.10.8
Фикс также перенесен в версии 3.7, 3.8, 3.9

Тип уязвимости

Внедрение команд

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.7.0 (включая) до 3.7.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.8.0 (включая) до 3.8.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.9.0 (включая) до 3.9.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.10.0 (включая) до 3.10.8 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*

cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:*

cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*

cpe:2.3:a:netapp:snapcenter:-:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:36:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:37:*:*:*:*:*:*:*

EPSS

Процентиль: 74%

0.00865

Низкий

7.6 High

CVSS3

8 High

CVSS2

Дефекты

CWE-77

Связанные уязвимости

CVE-2015-20107

CVSS3: 7.6

ubuntu

больше 3 лет назад

In Python (aka CPython) up to 3.10.8, the mailcap module does not add escape characters into commands discovered in the system mailcap file. This may allow attackers to inject shell commands into applications that call mailcap.findmatch with untrusted input (if they lack validation of user-provided filenames or arguments). The fix is also back-ported to 3.7, 3.8, 3.9

CVE-2015-20107

CVSS3: 7.6

redhat

около 10 лет назад

CVE-2015-20107

CVSS3: 7.6

msrc

больше 3 лет назад

Описание отсутствует

CVE-2015-20107

CVSS3: 7.6

debian

больше 3 лет назад

In Python (aka CPython) up to 3.10.8, the mailcap module does not add ...

SUSE-SU-2022:2357-1

suse-cvrf

около 3 лет назад

Security update for python3

EPSS

Процентиль: 74%

0.00865

Низкий

7.6 High

CVSS3

8 High

CVSS2

Дефекты

CWE-77