10.01.2024

BDU:2024-05177 (CVE-2024-0397) — уязвимость функций cert_store_stats() и get_ca_certs() модуля ssl интерпретатора языка программирования Python (CPython)

По данным БДУ ФСТЭК России, по состоянию на 09.06.2025.

Высокий — 7.4/10 Устранена

Уязвимость функций cert_store_stats() и get_ca_certs() модуля ssl интерпретатора языка программирования Python (CPython) связана с ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8; АЛЬТ СП 10 (АО «ИВК»); и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, github.com

Сведения об уязвимости

Идентификаторы	BDU:2024-05177 · CVE-2024-0397
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.4; CVSS 2.0 — 7.1)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:H атака по сети, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность и доступность
Наименование ФСТЭК	Уязвимость функций cert_store_stats() и get_ca_certs() модуля ssl интерпретатора языка программирования Python (CPython), позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 10.07.2024 · Обновлена ФСТЭК: 09.06.2025 · Выявлена: 10.01.2024
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-362 — одновременное выполнение с использованием общего ресурса с неправильной синхронизацией («Ситуация гонки»)
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование сроками и состоянием

Уязвимое ПО

РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8 · операционная система
АЛЬТ СП 10 (АО «ИВК») — операционная система
CPython (Python Software Foundation) — версии до 3.10.14, от 3.11.0 до 3.11.9, от 3.12.0 до 3.12.3, от 3.13.0 до 3.13.0a5 · прикладное ПО информационных систем
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.13 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций:
github.com/python/cpython/commit/01c37f1d0714f5822d34063c…
github.com/python/cpython/commit/29c97287d205bf2f410f4895…
github.com/python/cpython/commit/37324b421b72b7bc9934e27a…
github.com/python/cpython/commit/542f3272f56f31ed04e74c40…
github.com/python/cpython/commit/b228655c227b2ca298a8ffac…
github.com/python/cpython/commit/bce693111bff906ccf9281c2…
github.com/davidben/cpython/commit/529311e4390a72bf500662…

Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства
Для ОС Astra Linux: обновить пакет python3.11 до 3.11.2-6+deb12u3astra2 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se18-bulletin-2025-0114SE18MD
Для ОС Astra Linux: обновить пакет python3.7 до 3.7.3-2+deb10u8+ci202409251806+astra11 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux: обновить пакет python3.7 до 3.7.3-2+deb10u8+ci202409251806+astra11 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47; Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: