BDU:2019-04238 (CVE-2018-1061)

Уязвимость метода difflib.IS_LINE_JUNK интерпретатора языка программирования Python, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2019-11-25

Описание

Уязвимость метода difflib.IS_LINE_JUNK интерпретатора языка программирования Python существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Fedora (28)Astra Linux Special Edition (1.6 «Смоленск»)Fedora (29)Ubuntu (12.04 ESM)Red Hat Enterprise Linux (Server 7.0)Red Hat Enterprise Linux (Desktop 7.0)Red Hat Enterprise Linux (Workstation 7.0)Ansible Tower (3.3)Fedora (30)Debian GNU/Linux (8)Python (до 2.7.15)Python (от 3.0 до 3.4.9)Python (от 3.5.0 до 3.5.5)Python (от 3.6.0 до 3.6.4)Python (3.7.0 Beta2)Python (3.7.0 Alpha1)Python (3.7.0 Beta3)Python (3.7.0 Alpha2)Python (3.7.0 Beta4)Python (3.7.0 Alpha3)Python (3.7.0 Beta5)Python (3.7.0 Alpha4)Python (3.7.0 RC1)Python (3.7.0 Beta1)

Способ устранения

Использование рекомендаций:
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734

Для программных продутов Python Software Foundation:
https://docs.python.org/3.5/whatsnew/changelog.html#python-3-5-6-release-candidate-1
https://docs.python.org/3.6/whatsnew/changelog.html#python-3-6-5-release-candidate-1

Для Debian GNU/Linux:
https://www.debian.org/security/2018/dsa-4306
https://www.debian.org/security/2018/dsa-4307
https://lists.debian.org/debian-lts-announce/2018/09/msg00031.html
https://lists.debian.org/debian-lts-announce/2018/09/msg00030.html

Для программных продутов Red Hat Inc.:
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-1061
https://access.redhat.com/security/cve/CVE-2018-1061

Для Ubuntu:
https://usn.ubuntu.com/3817-1/
https://usn.ubuntu.com/3817-2/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/46PVWY5LFP4BRPG3BVQ5QEEFYBVEXHCK/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JSKPGPZQNTAULHW4UH63KGOOUIDE4RRB/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AEZ5IQT7OF7Q2NCGIVABOWYGKO7YU3NJ/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://wiki.astralinux.ru/pages/viewpage.action?pageId=44892734 https://docs.python.org/3.5/whatsnew/changelog.html#python-3-5-6-release-candidate-1 https://docs.python.org/3.6/whatsnew/changelog.html#python-3-6-5-release-candidate-1 https://www.debian.org/security/2018/dsa-4306 https://www.debian.org/security/2018/dsa-4307 https://lists.debian.org/debian-lts-announce/2018/09/msg00031.html https://lists.debian.org/debian-lts-announce/2018/09/msg00030.html https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-1061

Проверьте безопасность своего сайта и почты → Полная проверка домена