BDU:2024-02397 (CVE-2024-21503)

Уязвимость функции lines_with_leading_tabs_expanded() файла strings.py программного средства форматирования Python-кода Black, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-04-01

Описание

Уязвимость функции lines_with_leading_tabs_expanded() файла strings.py программного средства форматирования Python-кода Black связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании с помощью специально созданных данных

Затрагиваемое ПО и версии

Debian GNU/Linux (10)openSUSE TumbleweedDebian GNU/Linux (11)Debian GNU/Linux (12)Black (до 24.3.0)

Способ устранения

Использование рекомендаций:

Для Black:
обновление программного средства до версии 24.3.0 и выше

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-21503

Для программных продуктов Novell Inc.:
https://www.suse.com/ko-kr/security/cve/CVE-2024-21503.html

Оценка CVSS

Балл	5 — средняя опасность

Источники и патчи

https://github.com/psf/black/commit/f00093672628d212b8965a8993cee8bedf5fe9b8 https://github.com/psf/black/releases/tag/24.3.0 https://security.snyk.io/vuln/SNYK-PYTHON-BLACK-6256273 https://github.com/advisories/GHSA-fj7x-q9j7-g6q6 https://www.cybersecurity-help.cz/vdb/SB2024031822 https://security-tracker.debian.org/tracker/CVE-2024-21503 https://www.suse.com/ko-kr/security/cve/CVE-2024-21503.html https://access.redhat.com/security/cve/CVE-2024-21503

Проверьте безопасность своего сайта и почты → Полная проверка домена