BDU:2023-05476 (CVE-2023-41040)

Уязвимость компонента symbolic.py библиотеки Python для взаимодействия с git-репозиториями GitPython, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании

Опубликовано: 2023-09-12

Описание

Уязвимость компонента symbolic.py библиотеки Python для взаимодействия с git-репозиториями GitPython связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю , действующему удаленно, получить несанкционированный доступ к защищаемой информации или вызвать отказ в обслуживании

Затрагиваемое ПО и версии

РЕД ОС (7.3)GitPython (до 3.1.35)ОСОН ОСнова Оnyx (до 2.9)

Способ устранения

Использование рекомендаций:
Для GitPython:
https://github.com/gitpython-developers/GitPython/security/advisories/GHSA-cwvm-v4w8-q58c

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения python-git до версии 2.1.11-1+deb10u2

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://github.com/gitpython-developers/GitPython/blob/1c8310d7cae144f74a671cbe17e51f63a830adbf/git/refs/symbolic.py#L174-L175 https://github.com/gitpython-developers/GitPython/security/advisories/GHSA-cwvm-v4w8-q58c https://nvd.nist.gov/vuln/detail/CVE-2023-41040 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.9/

Проверьте безопасность своего сайта и почты → Полная проверка домена