BDU:2021-03604 (CVE-2019-17626)

Уязвимость функции toColor(eval(arg)) библиотеки ReportLab, связанная с внедрением xml (blind xpath injection), позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2021-07-13

Описание

Уязвимость функции toColor(eval(arg)) библиотеки ReportLab связана с ошибкой обработки XML-документа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)ReportLab (до 3.5.26 включительно)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для ReportLab:
Использование рекомендаций производителя: https://bitbucket.org/rptlab/reportlab/src/default/CHANGES.md

Для Debian:
Использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2019-17626

Для Astra Linux:
Использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16

Для ОС ОН «Стрелец»:
Обновление программного обеспечения python-reportlab до версии 3.3.0-2+deb9u1

Оценка CVSS

Балл	7.5 — критическая опасность

Источники и патчи

https://bitbucket.org/rptlab/reportlab/issues/199/eval-in-colorspy-leads-to-remote-code https://bitbucket.org/rptlab/reportlab/src/default/CHANGES.md https://nvd.nist.gov/vuln/detail/CVE-2019-17626 https://security-tracker.debian.org/tracker/CVE-2019-17626 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210611SE16 https://wiki.astralinux.ru/astra-linux-se16-bulletin-20210730SE16 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена