BDU:2024-05266

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8) CVSS 8.800000190734863 · AV:N/AC:L/PR:N/UI:R/S:U/C:H/I:H/A:H

Уязвимость функции js2py.disable_pyimport() библиотеки js2py, позволяющая нарушителю обойти защитный механизм песочницы и выполнить произвольный код

Соответствие зарубежным идентификаторам

CVE-2024-28397

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость функции js2py.disable_pyimport() библиотеки js2py связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти защитный механизм песочницы и выполнить произвольный код в результате отправки специально созданного вызова API

Способ устранения

Использование рекомендаций: Для js2py: https://github.com/bmwiedemann/openSUSE/commit/a951988e767280bf50048d1e51be11b49264526a https://github.com/gentoo/gentoo/pull/37285 https://github.com/Marven11/CVE-2024-28397-js2py-Sandbox-Escape/blob/main/fix.py https://github.com/Marven11/CVE-2024-28397-js2py-Sandbox-Escape/blob/main/patch.txt https://github.com/advisories/GHSA-h95x-26f3-88hr Для продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2024-28397.html

Сведения записи

Дата публикации: 15.07.2024

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Novell Inc.	OpenSUSE Leap	15.5	Не указана
Novell Inc.	OpenSUSE Leap	15.6	Не указана
Novell Inc.	SUSE Package Hub	15 SP5	Не указана
Novell Inc.	openSUSE Tumbleweed	-	Не указана
Сообщество свободного программного обеспечения	js2py	до 0.74 включительно	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.