Уязвимость компонентов clone/clone_from библиотеки Python для взаимодействия с git-репозиториями GitPython связана с ошибками при обработке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем внедрения специально сформированного URL-адреса в команду клонирования
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
- использование систем обнаружения и предотвращения вторжений для блокирования возможных последствий эксплуатации уязвимости;
- использование средств межсетевого экранирования для ограничения удаленного доступа к недоверенным ресурсам (репозиториям);
- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости.
Использование рекомендаций производителя:
Для GitPython:
https://github.com/gitpython-developers/GitPython/pull/1609
https://github.com/gitpython-developers/GitPython/commit/ca965ecc81853bca7675261729143f54e5bf4cdd
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-40267
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-40267.html
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/AV5DV7GBLMOZT7U3Q4TDOJO5R6G3V6GH/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PF6AXUTC5BO7L2SBJMCVKJSPKWY52I5R/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-6326-1
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux Special Edition 1.7:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-1023SE17
| Балл | 10 — критическая опасность |