BDU:2022-05838 (CVE-2021-3733) — уязвимость класса AbstractBasicAuthHandler компонента urllib.request интерпретатора языка программирования Python
По данным БДУ ФСТЭК России, по состоянию на 09.06.2025.
Средний — 6.5/10 Публичный эксплойт Устранена
Уязвимость класса AbstractBasicAuthHandler компонента urllib.request интерпретатора языка программирования Python связана с использованием неэффективного регулярного выражения. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании
Кого касается и что делать
- Уязвимое ПО: Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7; Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11; Python (Python Software Foundation) — версии до 3.6.14, от 3.7.0 до 3.7.11, от 3.9.0 до 3.9.5, от 3.8.0 до 3.8.10; и ещё 2 позиции
- Что делать: уязвимость устранена производителем — применить исправления: github.com, security-tracker.debian.org, wiki.astralinux.ru
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2022-05838 · CVE-2021-3733 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.5; CVSS 2.0 — 6.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность |
| Наименование ФСТЭК | Уязвимость класса AbstractBasicAuthHandler компонента urllib.request интерпретатора языка программирования Python, позволяющая нарушителю вызвать отказ в обслуживании |
| Даты | Опубликована: 21.09.2022 · Обновлена ФСТЭК: 09.06.2025 · Выявлена: 30.01.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-400 — неконтролируемый расход ресурса («Истощение ресурса») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: исчерпание ресурсов |
Уязвимое ПО
- Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.6 «Смоленск», 1.7, 4.7 · операционная система
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 10, 11 · операционная система
- Python (Python Software Foundation) — версии до 3.6.14, от 3.7.0 до 3.7.11, от 3.9.0 до 3.9.5, от 3.8.0 до 3.8.10 · прикладное ПО информационных систем
- РОСА ХРОМ (АО «НТЦ ИТ РОСА») — 12.4 · операционная система
- ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.9, до 2.13 · операционная система
Возможные меры по устранению уязвимости
Обновление.
- Для Python: использование рекомендаций производителя: github.com/python/cpython/pull/24391
- Для Debian: использование рекомендаций производителя: security-tracker.debian.org/tracker/CVE-2021-3733
- Для ОС Astra Linux: использование рекомендаций производителя; wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17; wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16; wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0926SE47
- Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD
- Для ОС Astra Linux Special Edition для архитектуры ARM 4.7: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47
- Для ОСОН ОСнова Оnyx: Обновление программного обеспечения python3.7 до версии 3.7.3-2+deb10u5.osnova12
- Для Astra Linux Special Edition 1.6 «Смоленск»: обновить пакет python2.7 до 2.7.13-2+deb9u9+ci202406111043+astra5 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16; обновить пакет python3.5 до 3.5.3-1+deb9u5 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se16-bulletin-20241017SE16
- Для операционной системы РОСА ХРОМ: abf.rosa.ru/advisories/ROSA-SA-2025-2646; Обновление программного обеспечения python3.9 до версии 3.9.2-1+deb11u3.osnova2u1
Источники
- bugs.python.org/issue43075
- github.com/python/cpython/commit/3fbe96123aeb66664fa547a8…
- github.com/python/cpython/commit/7215d1ae25525c92b026166f…
- github.com/python/cpython/commit/a21d4fbd549ec9685068a113…
- github.com/python/cpython/commit/ada14995870abddc277addf5…
- github.com/python/cpython/commit/e7654b6046090914a8323931…
- github.com/python/cpython/pull/24391
- nvd.nist.gov/vuln/detail/CVE-2021-3733
- security-tracker.debian.org/tracker/CVE-2021-3733
- wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
