BDU:2021-03488: Уязвимость синтаксического анализатора PyYAML, связанная с недостаточной проверкой вводимых данных, позволяющая нарушителю выполнить произвольный код

Описание уязвимости Уязвимость синтаксического анализатора PyYAML связана с недостаточной проверкой введенных пользователем данных при обработке ненадежных файлов YAML с помощью метода full_load или загрузчика FullLoader. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специального сформированного файла
Вендор ООО «Ред Софт», Сообщество свободного программного обеспечения
Наименование ПО РЕД ОС (запись в едином реестре российских программ №3751), PyYAML
Версия ПО
  • 7.2 Муром (РЕД ОС)
  • От 5.1 до 5.3.1 (PyYAML)
Тип ПО Операционная система, Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Тип ошибки Недостаточная проверка вводимых данных
Идентификатор типа ошибки
Класс уязвимости Уязвимость кода
Дата выявления 04.07.2021
Базовый вектор уязвимости
Уровень опасности уязвимости Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Ред ОС:
http://repo.red-soft.ru/redos/7.2c/x86_64/updates/

Для PyYAML:
Обновление программного обеспечения до актуальной версии
Статус уязвимости Подтверждена производителем
Наличие эксплойта Данные уточняются
Способ эксплуатации
  • Манипулирование ресурсами
Способ устранения Обновление программного обеспечения
Информация об устранении Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
Прочая информация Данные уточняются
Последние изменения