ГлавнаяБаза уязвимостей БДУ → BDU:2023-02444
7.8высокая

BDU:2023-02444 (CVE-2022-40023)

Уязвимость библиотеки шаблонов Sqlalchemy mako Python, связанная с некорректным регулярным выражением, позволяющая нарушителю вызывать отказ в обслуживании
Опубликовано: 2023-05-10
Описание

Уязвимость библиотеки шаблонов Sqlalchemy mako Python связана с недостаточной проверкой ввода при обработке регулярных выражений в классе Lexer. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, передать приложению специально созданные данные и выполнить атаку типа «отказ в обслуживании» с помощью регулярных выражений

Затрагиваемое ПО и версии
Debian GNU/Linux (10)Debian GNU/Linux (11)РЕД ОС (7.3)Astra Linux Special Edition (1.7)ОСОН ОСнова Оnyx (до 2.6)Astra Linux Common Edition (1.6 «Смоленск»)mako (до 1.2.2)АЛЬТ СП 10
Способ устранения

Использование рекомендаций:
Для Python:
https://pyup.io/posts/pyup-discovers-redos-vulnerabilities-in-top-python-packages/

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-40023

Для ОСОН ОСнова Оnyx
Обновление программного обеспечения mako до версии 1.0.7+ds1-1+deb10u1

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для ОС Astra Linux Special Edition 1.7:
обновить пакет mako до 1.0.7+ds1-1+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1110SE17

Для ОС Astra Linux:
обновить пакет mako до 1.0.6+ds1-2+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20251225SE16

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://redos.red-soft.ru/support/secure/https://github.com/sqlalchemy/mako/blob/c2f392e0be52dc67d1b9770ab8cce6a9c736d547/mako/ext/extract.py#L21https://github.com/sqlalchemy/mako/commit/925760291d6efec64fda6e9dd1fd9cfbd5be068chttps://github.com/sqlalchemy/mako/issues/366https://lists.debian.org/debian-lts-announce/2022/09/msg00026.htmlhttps://pyup.io/posts/pyup-discovers-redos-vulnerabilities-in-top-python-packages/https://pyup.io/vulnerabilities/CVE-2022-40023/50870/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/
Проверьте безопасность своего сайта и почты → Полная проверка домена