Куда я попал?
SECURITM это SGRC система, ? автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

BDU:2022-00583

CVSS: 9.8
25.01.2022

Уязвимость компонента PIL.ImageMath.eval библиотеки изображений Python Pillow, связанная с использованием опасных методов или функций, позволяющая нарушителю выполнить произвольный код

Уязвимость компонента PIL.ImageMath.eval библиотеки изображений Python Pillow связана с использованием опасных методов или функций. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код в системе с помощью передачи специально сформированного файл в уязвимую библиотеку
Статус уязвимости:
Подтверждена производителем
Уязвимость устранена
Дата выявления: 25.01.2022
Класс уязвимости: Уязвимость кода
Наличие эксплойта: Данные уточняются
Способ эксплуатации: Манипулирование структурами данных
Способ устранения: Нет данных
Меры по устранению: Использование рекомендаций:
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Pillow:
https://pillow.readthedocs.io/en/stable/releasenotes/9.0.0.html#restrict-builtins-available-to-imagemath-eval

Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-22817

Для ОС Astra Linux:
использование рекомендаций производителя:
https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-0819SE17
https://wiki.astralinux.ru/astra-linux-se16-bulletin-20220829SE16

Для ОСОН Основа:
Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u3

Для Astra Linux Special Edition 1.7: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет pillow до 4.0.0-4+deb9u4 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС ОН «Стрелец»:
Обновление программного обеспечения pillow до версии 4.0.0-4+deb9u4

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения pillow до версии 5.4.1-2+deb10u6.osnova1

Идентификатор типа ошибки

Идентификатор, установленный в соответствии с общим перечнем ошибок CWE
Идентификатор Описание
CWE-749 Доступны опасные методы или функции

Идентификаторы CVE уязвимостей

Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности
Идентификатор Описание
CVE-2022-22817 PIL.ImageMath.eval in Pillow before 9.0.0 allows evaluation of arbitrary expressions, such as ones that use the Python exec m...

НКЦКИ уязвимости

Бюллетени НКЦКИ - уязвимости ПО
Идентификатор Дата бюллетеня Описание
VULN:20250730-18 30.07.2025 Получение конфиденциальной информации в Schneider Electric EcoStruxure Power Operation

CVSS

Система общей оценки уязвимостей
Оценка Severity Версия Базовый вектор
10 CRITICAL 2.0 AV:N/AC:L/Au:N/C:C/I:C/A:C
9.8 HIGH 3.0 AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Идентификаторы других систем описаний уязвимостей

CVE-2022-22817
Вендор:
  • ООО «РусБИТех-Астра»
  • Сообщество свободного программного обеспечения
  • ООО «Ред Софт»
  • Uploadcare, LLC
  • АО "НППКТ"
  • АО «ИВК»
  • АО «Концерн ВНИИНС»
Тип ПО:
  • Операционная система
  • Прикладное ПО информационных систем
Наименование ПО:
  • Astra Linux Special Edition
  • Debian GNU/Linux
  • Astra Linux Special Edition для «Эльбрус»
  • РЕД ОС
  • Pillow
  • ОСОН ОСнова Оnyx
  • АЛЬТ СП 10
  • ОС ОН «Стрелец»
Версия ПО:
  • 1.6 «Смоленск» (Astra Linux Special Edition)
  • 10 (Debian GNU/Linux)
  • 8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
  • 11 (Debian GNU/Linux)
  • 7.3 (РЕД ОС)
  • 1.7 (Astra Linux Special Edition)
  • до 9.0.0 (Pillow)
  • 4.7 (Astra Linux Special Edition)
  • до 2.4.2 (ОСОН ОСнова Оnyx)
  • - (АЛЬТ СП 10)
  • до 16.01.2023 (ОС ОН «Стрелец»)
  • до 2.10.1 (ОСОН ОСнова Оnyx)
ОС и аппаратные платформы:
  • Astra Linux Special Edition (1.6 «Смоленск»)
  • Debian GNU/Linux (10)
  • Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)
  • Debian GNU/Linux (11)
  • РЕД ОС (7.3)
  • Astra Linux Special Edition (1.7)
  • Astra Linux Special Edition (4.7)
  • ОСОН ОСнова Оnyx (до 2.4.2)
  • АЛЬТ СП 10 (-)
  • ОС ОН «Стрелец» (до 16.01.2023)
  • ОСОН ОСнова Оnyx (до 2.10.1)
Ссылки на источники:

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.