ГлавнаяБаза уязвимостей БДУ → BDU:2021-03119
5.8средняя

BDU:2021-03119 (CVE-2021-28957)

Уязвимость класса Cleaner библиотеки для обработки разметки XML и HTML Lxml, позволяющая нарушителю выполнить произвольный Java Script-код
Опубликовано: 2021-06-18
Описание

Уязвимость класса Cleaner библиотеки для обработки разметки XML и HTML Lxml связана с отсутствием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный Java Script-код

Затрагиваемое ПО и версии
Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Common Edition (2.12 «Орёл»)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Fedora (33)Fedora (34)Lxml (до 4.6.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.1)ОС ОН «Стрелец» (до 16.01.2023)ПК "ALD Pro" (до 2.4.2)
Способ устранения

Использование рекомендаций:
Для Lxml:
https://bugs.launchpad.net/lxml/+bug/1888153
https://github.com/lxml/lxml/commit/a5f9cb52079dc57477c460dbe6ba0f775e14a999

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-28957

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XXN3QPWCTQVOGW4BMWV3AUUZZ4NRZNSQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3C2R44VDUY7FJVMAVRZ2WY7XYL4SVN45/

Для Astra Linux:

Использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16
https://wiki.astralinux.ru/pages/viewpage.action?pageId=47416144
https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:
Обновление программного обеспечения lxml до версии 4.3.2-1+deb10u3

Для ОС ОН «Стрелец»:
Обновление программного обеспечения lxml до версии 3.7.1-1+deb9u5

Для ПК «ALD Pro»:
обновление программного обеспечения, применение оперативного обновления ПК «ALD Pro» 2.4.2, предоставляемого в личном кабинете пользователя https://lk.astra.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Оценка CVSS
Балл5.8 — средняя опасность
Источники и патчи
https://bugs.launchpad.net/lxml/+bug/1888153https://github.com/lxml/lxml/commit/a5f9cb52079dc57477c460dbe6ba0f775e14a999https://github.com/lxml/lxml/pull/316/commits/10ec1b4e9f93713513a3264ed6158af22492f270https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3C2R44VDUY7FJVMAVRZ2WY7XYL4SVN45/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/XXN3QPWCTQVOGW4BMWV3AUUZZ4NRZNSQ/https://nvd.nist.gov/vuln/detail/CVE-2021-28957https://security-tracker.debian.org/tracker/CVE-2021-28957https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16
Проверьте безопасность своего сайта и почты → Полная проверка домена