BDU:2020-03315 (CVE-2019-14452)

Уязвимость программное средство редактирования электронных книг в формате EPUB Sigil, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю записать произвольные файлы в произвольную директорию

Опубликовано: 2020-07-15

Описание

Уязвимость программное средство редактирования электронных книг в формате EPUB Sigil существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, записать произвольные файлы в произвольную директорию

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Ubuntu (18.04 LTS)Ubuntu (19.04)FlightCrew (до 0.9.2 включительно)Sigil (до 0.9.16)

Способ устранения

Использование рекомендаций:
Для Sigil:
https://github.com/Sigil-Ebook/Sigil/releases/tag/0.9.16
https://github.com/Sigil-Ebook/Sigil/commit/04e2f280cc4a0766bedcc7b9eb56449ceecc2ad4
https://github.com/Sigil-Ebook/Sigil/commit/0979ba8d10c96ebca330715bfd4494ea0e019a8f
https://github.com/Sigil-Ebook/Sigil/commit/369eebe936e4a8c83cc54662a3412ce8bef189e4

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4085-1

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-14452.html?_ga=2.47099367.1166774182.1564639146-1618695258.1547637860 https://github.com/Sigil-Ebook/Sigil/releases/tag/0.9.16 https://github.com/Sigil-Ebook/Sigil/commit/04e2f280cc4a0766bedcc7b9eb56449ceecc2ad4 https://github.com/Sigil-Ebook/Sigil/commit/0979ba8d10c96ebca330715bfd4494ea0e019a8f https://github.com/Sigil-Ebook/Sigil/commit/369eebe936e4a8c83cc54662a3412ce8bef189e4 https://ubuntu.com/security/notices/USN-4085-1 https://github.com/Sigil-Ebook/flightcrew/issues/52#issuecomment-505967936 https://github.com/Sigil-Ebook/flightcrew/issues/52#issuecomment-505997355

Проверьте безопасность своего сайта и почты → Полная проверка домена