BDU:2020-04508 (CVE-2019-16935)

Уязвимость сервера документации XML-RPC интерпретатора языка программирования Python, позволяющая нарушителю осуществить межсайтовую сценарную атаку

Опубликовано: 2020-10-01

Описание

Уязвимость сервера документации XML-RPC интерпретатора языка программирования Python связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить межсайтовую сценарную атаку

Затрагиваемое ПО и версии

Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)PeopleSoft Enterprise PeopleTools (8.57)Astra Linux Special Edition (1.6 «Смоленск»)Ubuntu (19.04)Astra Linux Common Edition (2.12 «Орёл»)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Fedora (30)Debian GNU/Linux (8)Debian GNU/Linux (10)Fedora (31)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Python (до 2.7.16 включительно)Python (от 3.7.0 до 3.7.4 включительно)PeopleSoft Enterprise PeopleTools (8.58)Communications Operations Monitor (3.4.0)Communications Operations Monitor (4.1.0)Communications Operations Monitor (4.2.0)Communications Operations Monitor (4.3.0)Python (от 3.0 до 3.6.9 включительно)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpujul2020.html

Для Ubuntu:
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-16935.html

Для Fedora Project:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4X3HW5JRZ7GCPSR7UHJOLD7AWLTQCDVR/

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2019-16935/

Для Python:
https://bugs.python.org/issue38243

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2019-16935

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения python3.5 до версии 3.5.3-1+osnova10
Обновление программного обеспечения python2.7 до версии 2.7.13-2+osnova10

Оценка CVSS

Балл	5.8 — средняя опасность

Источники и патчи

https://bugs.python.org/issue38243 https://github.com/python/cpython/commit/e8650a4f8c7fb76f570d4ca9c1fbe44e91c8dfaa https://github.com/python/cpython/pull/16373 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4X3HW5JRZ7GCPSR7UHJOLD7AWLTQCDVR/https://nvd.nist.gov/vuln/detail/CVE-2019-16935 https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-16935.html https://security-tracker.debian.org/tracker/CVE-2019-16935 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16

Проверьте безопасность своего сайта и почты → Полная проверка домена