ИнструментыУязвимости БДУБлоклистыРасширениеУтилитыБлогAPIМониторинг
Главная → База уязвимостей БДУ → BDU:2025-09992
7.8высокая

BDU:2025-09992 (CVE-2025-4138)

Уязвимость модуля tarfile интерпретатора языка программирования Python (CPython), позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Опубликовано: 2025-08-18
Описание

Уязвимость модуля tarfile интерпретатора языка программирования Python (CPython) связана с неверным ограничением имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Затрагиваемое ПО и версии
Red Hat Enterprise Linux (8)Suse Linux Enterprise Server (12 SP5)SUSE Linux Enterprise Module for Basesystem (15 SP3)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)SUSE Linux Enterprise High Performance Computing (15 SP3)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Micro (5.1)Suse Linux Enterprise Server (15 SP4)SUSE Linux Enterprise Micro (5.2)SUSE Manager Retail Branch Server (4.3)SUSE Manager Proxy (4.3)SUSE Manager Server (4.3)SUSE Linux Enterprise High Performance Computing (15 SP4)SUSE Linux Enterprise Module for Public Cloud (15 SP4)SUSE Linux Enterprise Module for Basesystem (15 SP4)SUSE Linux Enterprise Micro (5.3)Suse Linux Enterprise Server (15 SP3-LTSS)SUSE Linux Enterprise High Performance Computing (15 SP3-ESPOS)SUSE Linux Enterprise High Performance Computing (15 SP3-LTSS)Fedora (39)Suse Linux Enterprise Server (15 SP5)SUSE Linux Enterprise High Performance Computing (15 SP5)SUSE Linux Enterprise Module for Basesystem (15 SP5)SUSE Linux Enterprise Micro (5.4)SUSE Linux Enterprise Micro (5.5)SUSE Linux Enterprise High Performance Computing (15 SP4-LTSS)Fedora (40)Suse Linux Enterprise Server (15 SP4-LTSS)
Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Python:
https://github.com/python/cpython/pull/135037
https://github.com/python/cpython/issues/135034
https://mail.python.org/archives/list/security-announce@python.org/thread/MAXIJJCUUMCL7ATZNDVEGGHUMQMUUKLG/



Для РедОС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2025-4138

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2025-4138

Для Ubuntu:
https://ubuntu.com/security/CVE-2025-4138

Для Fedora:
https://bodhi.fedoraproject.org/updates/FEDORA-2023-9d033517d4
https://bodhi.fedoraproject.org/updates/FEDORA-2024-82a696ca59
https://bodhi.fedoraproject.org/updates/FEDORA-2025-3436f3d2b4
https://bodhi.fedoraproject.org/updates/FEDORA-2025-41dc96c19a

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2025-4138.html

Обновление программного обеспечения python3.9 до версии 3.9.23-1.osnova2u1

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2025:10136?lang=ru

Оценка CVSS
Балл7.8 — высокая опасность
Источники и патчи
https://gist.github.com/sethmlarson/52398e33eff261329a0180ac1d54f42fhttps://github.com/python/cpython/commit/19de092debb3d7e832e5672cc2f7b788d35951dahttps://github.com/python/cpython/commit/28463dba112af719df1e8b0391c46787ad756dd9https://github.com/python/cpython/commit/3612d8f51741b11f36f8fb0494d79086bac9390ahttps://github.com/python/cpython/commit/4633f3f497b1ff70e4a35b6fe2c907cbe2d4cb2ehttps://github.com/python/cpython/commit/9c1110ef6652687d7c55f590f909720eddde965ahttps://github.com/python/cpython/commit/9e0ac76d96cf80b49055f6d6b9a6763fb9215c2ahttps://github.com/python/cpython/commit/aa9eb5f757ceff461e6e996f12c89e5d9b583b01
Проверьте безопасность своего сайта и почты → Полная проверка домена