BDU:2025-12374 (CVE-2024-11168)

Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python, позволяющая нарушителю оказать воздействие на целостность данных

Опубликовано: 2025-09-29

Описание

Уязвимость функций urllib.parse.urlsplit() и urlparse() интерпретатора языка программирования Python связана с недостаточной проверкой поступающих запросов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность данных

Затрагиваемое ПО и версии

РЕД ОС (7.3)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)Python (от 3.11.0 до 3.11.4)Astra Linux Special Edition (1.8)ОСОН ОСнова Оnyx (до 2.13)МСВСфера (9.5)Astra Linux Special Edition (3.8)

Способ устранения

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:
Для Python:
https://github.com/python/cpython/issues/103848

Для ОС Astra Linux:
обновить пакет python3.11 до 3.11.2-6+deb12u5.astra3 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0811SE18

Для ОС Astra Linux:
- обновить пакет python2.7 до 2.7.16-2+deb10u6+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17
- обновить пакет python3.7 до 3.7.3-2+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0923SE17

Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1

Для ОС Astra Linux:
- обновить пакет python2.7 до 2.7.16-2+deb10u6+ci1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47
- обновить пакет python3.7 до 3.7.3-2+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-1020SE47

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:10983?lang=ru

Для Ред ОС: http://repo.red-soft.ru/redos/8.0/x86_64/updates/

Для ОС Astra Linux:
обновить пакет python3.11 до 3.11.2-6+deb12u6.astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38

Для ОС Astra Linux:
обновить пакет python3.11 до 3.11.2-6+deb12u6.astra4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0126SE38

Оценка CVSS

Балл	2.6 — средняя опасность

Источники и патчи

https://github.com/python/cpython/commit/29f348e232e82938ba2165843c448c2b291504c5 https://github.com/python/cpython/commit/634ded45545ce8cbd6fd5d49785613dd7fa9b89e https://github.com/python/cpython/commit/b2171a2fd41416cf68afd67460578631d755a550 https://github.com/python/cpython/commit/ddca2953191c67a12b1f19d6bca41016c6ae7132 https://github.com/python/cpython/issues/103848 https://github.com/python/cpython/pull/103849 https://nvd.nist.gov/vuln/detail/CVE-2024-11168 https://security.netapp.com/advisory/ntap-20250411-0004/

Проверьте безопасность своего сайта и почты → Полная проверка домена