BDU:2022-05647 (CVE-2020-25659) — уязвимость пакета python-cryptography интерпретатора языка программирования Python

По данным БДУ ФСТЭК России, по состоянию на 01.06.2026.

Средний — 5.9/10 Устранена

Уязвимость пакета python-cryptography интерпретатора языка программирования Python связана с ошибками управления ключами RSA. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: Red Hat Enterprise Linux (Red Hat) — версии 7.0, 8; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Red Hat Software Collections (Red Hat); и ещё 9 позиций
Что делать: уязвимость устранена производителем — применить исправления: github.com, access.redhat.com, www.suse.com

Сведения об уязвимости

Идентификаторы	BDU:2022-05647 · CVE-2020-25659
Уровень опасности	Средний (базовая оценка CVSS 3.1 — 5.9; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N атака по сети, высокая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость пакета python-cryptography интерпретатора языка программирования Python, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 12.09.2022 · Обновлена ФСТЭК: 01.06.2026 · Выявлена: 11.01.2021
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-385 — скрытый временной канал
Класс уязвимости	Уязвимость кода · Способ эксплуатации: несанкционированный сбор информации

Уязвимое ПО

Red Hat Enterprise Linux (Red Hat) — версии 7.0, 8 · операционная система
Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
Red Hat Software Collections (Red Hat) — прикладное ПО информационных систем
Red Hat OpenStack Platform (Red Hat) — 13.0 (Queens) · ПО программно-аппаратного средства
Ansible Tower (Red Hat) — 3 · сетевое программное средство
OpenSUSE Leap (Novell) — версии 15.2, 15.3, 15.4 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7 · операционная система
Ansible Automation Platform (Red Hat) — 1.2 · прикладное ПО информационных систем
Oracle Communications Cloud Native Core Network Function Cloud Native Environment (Oracle) — 1.10.0 · прикладное ПО информационных систем
cryptography (Python Cryptographic Authority) — 3.2 · прикладное ПО информационных систем
ROSA Virtualization (АО «НТЦ ИТ РОСА») — 2.1 · ПО виртуализации/ПО виртуального программно-аппаратного средства
ОСОН ОСнова Оnyx (АО «НППКТ») — до 2.11 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для python-cryptography: github.com/pyca/cryptography/pull/5507/commits/ce1bef6f1e…
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/CVE-2020-25659
Для программных продуктов Novell Inc.: www.suse.com/security/cve/CVE-2020-25659.html
Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2020-25659
Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuapr2022.html
Для ОС Astra Linux: использование рекомендаций производителя; wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17; wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
Для ОСОН ОСнова Оnyx (2.11): Обновление программного обеспечения python-cryptography до версии 3.3.2-1osnova0; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2025-2753; Для системы управления средой виртуализации «ROSA Virtualization»: abf.rosa.ru/advisories/ROSA-SA-2025-3099

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: