ГлавнаяБаза уязвимостей БДУ → BDU:2022-00583
10критическая

BDU:2022-00583 (CVE-2022-22817)

Уязвимость компонента PIL.ImageMath.eval библиотеки изображений Python Pillow, связанная с использованием опасных методов или функций, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2022-02-04
Описание

Уязвимость компонента PIL.ImageMath.eval библиотеки изображений Python Pillow связана с использованием опасных методов или функций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в системе с помощью передачи специально сформированного файл в уязвимую библиотеку

Затрагиваемое ПО и версии
Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Debian GNU/Linux (11)РЕД ОС (7.3)Astra Linux Special Edition (1.7)Pillow (до 9.0.0)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.4.2)АЛЬТ СП 10ОС ОН «Стрелец» (до 16.01.2023)ОСОН ОСнова Оnyx (до 2.10.1)
Способ устранения

Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Pillow:
https://pillow.readthedocs.io/en/stable/releasenotes/9.0.0.html#restrict-builtins-available-to-imagemath-eval

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-22817

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет pillow до 4.0.0-4+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u6.osnova1

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://redos.red-soft.ru/support/secure/https://security-tracker.debian.org/tracker/CVE-2022-22817https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17https://pillow.readthedocs.io/en/stable/releasenotes/9.0.0.html#restrict-builtins-available-to-imagemath-evalhttps://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.4.2/https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MDhttps://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81
Проверьте безопасность своего сайта и почты → Полная проверка домена