BDU:2024-04920

Уязвимость компонента JSON Handler библиотеки PyMySQL для языка программирования Python, позволяющая нарушителю получить несанкционированному доступу к данным, фальсификации данных или выполнить произвольный код на внутреннем сервере базы данных

Опубликовано: 2024-07-02

Описание

Уязвимость компонента JSON Handler библиотеки PyMySQL для языка программирования Python связана с отсутствием экранирования ключей процедурой escape_dict. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированному доступу к данным, фальсификации данных или выполнить произвольный код на внутреннем сервере базы данных

Затрагиваемое ПО и версии

РЕД ОС (7.3)Fedora (39)Fedora (40)PyMySQL (до 1.1.1)ОСОН ОСнова Оnyx (до 2.11)

Способ устранения

Для PyMySQL:
https://github.com/PyMySQL/PyMySQL/releases/tag/v1.1.1

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/23VXBV34GFRICCVYZ6KFMSSWY5UEXCF5/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/35VOJS3SRJNLQIO7YTZFNM6RWHIHWTMK/

Для ОСОН ОСнова Оnyx (2.11):
Обновление программного обеспечения python-pymysql до версии 0.9.3-1+deb10u1

Оценка CVSS

Балл	6.5 — средняя опасность

Источники и патчи

https://github.com/PyMySQL/PyMySQL/releases/tag/v1.1.1 https://lists.debian.org/debian-lts-announce/2024/05/msg00017.html https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/23VXBV34GFRICCVYZ6KFMSSWY5UEXCF5/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/35VOJS3SRJNLQIO7YTZFNM6RWHIHWTMK/https://redos.red-soft.ru/support/secure/https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.11/

Проверьте безопасность своего сайта и почты → Полная проверка домена