BDU:2023-05150
Novell Inc., ООО «Ред Софт», Canonical Ltd., Сообщество свободного программного обеспечения, ООО «Ру Fedora, Astra Linux Special Edition, Ubuntu, Debian GNU/Linux, openSUSE Tumbleweed, GitPython, РЕД О
2023-08-11
Уязвимость компонентов clone/clone_from библиотеки Python для взаимодействия с git-репозиториями GitPython связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем внедрения специально сформированного URL-адреса в команду клонирования
Технический анализ и план устранения
🇷🇺 Рекомендация ФСТЭК
Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры: - использование систем обнаружения и предотвращения вторжений для блокирования возможных последствий эксплуатации уязвимости; - использование средств межсетевого экранирования для ограничения удаленного доступа к недоверенным ресурсам (репозиториям); - использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.
Использование рекомендаций производителя: Для GitPython: https://github.com/gitpython-developers/GitPython/pull/1609 https://github.com/gitpython-developers/GitPython/commit/ca965ecc81853bca7675261729143f54e5bf4cdd
Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2023-40267
Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2023-40267.html
Для Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AV5DV7GBLMOZT7U3Q4TDOJO5R6G3V6GH/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PF6AXUTC5BO7L2SBJMCVKJSPKWY52I5R/
Для Ubuntu: https://ubuntu.com/security/notices/USN-6326-1
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux Special Edition 1.7: использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17