BDU:2020-03946

Уязвимость модуля для работы с ZIP-файлами zipfile пакета программ Python, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2020-08-19

Описание

Уязвимость модуля для работы с ZIP-файлами zipfile пакета программ Python связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью вредоносного архивного файла ZIP bomb

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Ubuntu (18.04 LTS)Ubuntu (12.04 ESM)OpenSUSE Leap (15.1)Ubuntu (14.04 ESM)Python (до 3.7.2 включительно)Astra Linux Special Edition (1.7)ОСОН ОСнова Оnyx (до 2.6)

Способ устранения

Использование рекомендаций:
Для Python:
https://bugs.python.org/issue36260
https://bugs.python.org/issue36462
https://python-security.readthedocs.io/security.html#archives-and-zip-bomb
https://www.python.org/news/security/

Для программных продуктов Novell Inc.:
http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00003.html
http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00041.html

Для Ubuntu:
https://usn.ubuntu.com/4428-1/

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u3osnova9u3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://bugs.python.org/issue36260 https://bugs.python.org/issue36462 https://python-security.readthedocs.io/security.html#archives-and-zip-bomb https://www.python.org/news/security/http://lists.opensuse.org/opensuse-security-announce/2020-03/msg00003.html http://lists.opensuse.org/opensuse-security-announce/2020-05/msg00041.html https://usn.ubuntu.com/4428-1/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/

Проверьте безопасность своего сайта и почты → Полная проверка домена