CVE-2015-20107

Опубликовано: 13 апр. 2022

Источник: nvd

CVSS3: 7.6

CVSS2: 8

EPSS Низкий

Уязвимость внедрения команд оболочки через отсутствие экранирования в модуле mailcap в Python

Описание

В версиях Python (CPython) до 3.10.8 модуль mailcap не добавляет экранирующие символы в команды, найденные в системном файле mailcap. Это может позволить злоумышленникам внедрять команды оболочки в приложения, которые вызывают mailcap.findmatch с недоверенными данными (если отсутствует верификация предоставленных пользователем имён файлов или аргументов).

Затронутые версии ПО

Все релизы Python (CPython) до 3.10.8
Фикс также перенесен в версии 3.7, 3.8, 3.9

Тип уязвимости

Внедрение команд

Ссылки

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.7.0 (включая) до 3.7.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.8.0 (включая) до 3.8.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.9.0 (включая) до 3.9.15 (включая)

cpe:2.3:a:python:python:*:*:*:*:*:*:*:*

Версия от 3.10.0 (включая) до 3.10.8 (исключая)

Конфигурация 2

Одно из

cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:vmware_vsphere:*:*

cpe:2.3:a:netapp:active_iq_unified_manager:-:*:*:*:*:windows:*:*

cpe:2.3:a:netapp:ontap_select_deploy_administration_utility:-:*:*:*:*:*:*:*

cpe:2.3:a:netapp:snapcenter:-:*:*:*:*:*:*:*

Конфигурация 3

Одно из

cpe:2.3:o:fedoraproject:fedora:35:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:36:*:*:*:*:*:*:*

cpe:2.3:o:fedoraproject:fedora:37:*:*:*:*:*:*:*

EPSS

Процентиль: 78%

0.01218

Низкий

7.6 High

CVSS3

8 High

CVSS2

Дефекты

CWE-77

Связанные уязвимости

CVE-2015-20107

CVSS3: 7.6

ubuntu

около 3 лет назад

In Python (aka CPython) up to 3.10.8, the mailcap module does not add escape characters into commands discovered in the system mailcap file. This may allow attackers to inject shell commands into applications that call mailcap.findmatch with untrusted input (if they lack validation of user-provided filenames or arguments). The fix is also back-ported to 3.7, 3.8, 3.9

CVE-2015-20107

CVSS3: 7.6

redhat

почти 10 лет назад

CVE-2015-20107

CVSS3: 7.6

msrc

около 3 лет назад

Описание отсутствует

CVE-2015-20107

CVSS3: 7.6

debian

около 3 лет назад

In Python (aka CPython) up to 3.10.8, the mailcap module does not add ...

SUSE-SU-2022:2357-1

suse-cvrf

почти 3 года назад

Security update for python3

EPSS

Процентиль: 78%

0.01218

Низкий

7.6 High

CVSS3

8 High

CVSS2

Дефекты

CWE-77