Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-04563

Опубликовано: 20 дек. 2017
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость функции lazy_initialize интерпретатора языка программирования Ruby связана с непринятием мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

ООО «РусБИТех-Астра»
Ruby Team
Сообщество свободного программного обеспечения

Наименование ПО

Astra Linux Special Edition
Ruby
Debian GNU/Linux

Версия ПО

1.6 «Смоленск» (Astra Linux Special Edition)
от 2.2 до 2.2.8 включительно (Ruby)
от 2.3 до 2.3.5 включительно (Ruby)
от 2.4 до 2.4.2 включительно (Ruby)
7.0 (Debian GNU/Linux)
до 2.5.0 (Ruby)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Ruby Team Ruby от 2.2 до 2.2.8 включительно
Ruby Team Ruby от 2.3 до 2.3.5 включительно
Ruby Team Ruby от 2.4 до 2.4.2 включительно
Сообщество свободного программного обеспечения Debian GNU/Linux 7.0
Ruby Team Ruby до 2.5.0

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для Ruby:
Обновление программного обеспечения до 2.2.9, 2.3.6, 2.4.2, 2.5.0
Для Astra Linux и Debian:
Обновление программного обеспечения пакета ruby2 до 2.3.3-1+deb9u3 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%
0.07899
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
почти 8 лет назад

The lazy_initialize function in lib/resolv.rb in Ruby through 2.4.3 uses Kernel#open, which might allow Command Injection attacks, as demonstrated by a Resolv::Hosts::new argument beginning with a '|' character, a different vulnerability than CVE-2017-17405. NOTE: situations with untrusted input may be highly unlikely.

CVSS3: 8.1
redhat
почти 8 лет назад

The lazy_initialize function in lib/resolv.rb in Ruby through 2.4.3 uses Kernel#open, which might allow Command Injection attacks, as demonstrated by a Resolv::Hosts::new argument beginning with a '|' character, a different vulnerability than CVE-2017-17405. NOTE: situations with untrusted input may be highly unlikely.

CVSS3: 9.8
nvd
почти 8 лет назад

The lazy_initialize function in lib/resolv.rb in Ruby through 2.4.3 uses Kernel#open, which might allow Command Injection attacks, as demonstrated by a Resolv::Hosts::new argument beginning with a '|' character, a different vulnerability than CVE-2017-17405. NOTE: situations with untrusted input may be highly unlikely.

CVSS3: 9.8
debian
почти 8 лет назад

The lazy_initialize function in lib/resolv.rb in Ruby through 2.4.3 us ...

CVSS3: 9.8
github
больше 3 лет назад

The lazy_initialize function in lib/resolv.rb in Ruby through 2.4.3 uses Kernel#open, which might allow Command Injection attacks, as demonstrated by a Resolv::Hosts::new argument beginning with a '|' character, a different vulnerability than CVE-2017-17405. NOTE: situations with untrusted input may be highly unlikely.

EPSS

Процентиль: 92%
0.07899
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2