BDU:2017-02043

Уязвимость компонента XML-RPC веб-сервера Supervisor и операционных систем Fedora, Debian GNU/Linux , позволяющая нарушителю выполнить произвольные команды

Опубликовано: 2017-09-13

Описание

Уязвимость компонента XML-RPC веб-сервера Supervisor и операционных систем Fedora, Debian GNU/Linux связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды при помощи специально сформированного XML-RPC запроса, связанного с вложенными запросами пространства имен супервизора

Затрагиваемое ПО и версии

Debian GNU/Linux (8)Fedora (24)Fedora (25)Debian GNU/Linux (9)Subversion (до 3.0 включительно)Subversion (3.1.0)Subversion (3.1.1)Subversion (3.1.2)Subversion (3.1.3)Subversion (3.2.0)Subversion (3.2.1)Subversion (3.2.2)Subversion (3.2.3)Subversion (3.3.0)Subversion (3.3.1)Subversion (3.3.2)Fedora (26)

Способ устранения

Использование рекомендаций:
http://www.debian.org/security/2017/dsa-3942
https://github.com/Supervisor/supervisor/issues/964
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4GMSCGMM477N64Z3BM34RWYBGSLK466B/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DTPDZV4ZRICDYAYZVUHSYZAYDLRMG2IM/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JXGWOJNSWWK2TTWQJZJUP66FLFIWDMBQ/

Оценка CVSS

Балл	9 — высокая опасность

Источники и патчи

http://www.debian.org/security/2017/dsa-3942 https://github.com/Supervisor/supervisor/blob/3.0.1/CHANGES.txt https://github.com/Supervisor/supervisor/blob/3.1.4/CHANGES.txt https://github.com/Supervisor/supervisor/blob/3.2.4/CHANGES.txt https://github.com/Supervisor/supervisor/blob/3.3.3/CHANGES.txt https://github.com/Supervisor/supervisor/issues/964 https://lists.fedoraproject.org/archives/list/package-announce lists.fedoraproject.org/message/4GMSCGMM477N64Z3BM34RWYBGSLK466B/

Проверьте безопасность своего сайта и почты → Полная проверка домена