Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00753

Опубликовано: 17 июн. 2019
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость команды gem owner системы управления пакетами RubyGems связана с выводом содержимого ответа API в стандартный поток вывода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных при помощи специально сформированной escape-последовательности

Вендор

Canonical Ltd.
ООО «РусБИТех-Астра»
Red Hat Inc.
Сообщество свободного программного обеспечения
Novell Inc.
АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu
Astra Linux Special Edition
Red Hat Enterprise Linux
Debian GNU/Linux
Astra Linux Common Edition
OpenSUSE Leap
Red Hat Software Collections
rubygems
CloudForms Management Engine
ОС ОН «Стрелец»

Версия ПО

14.04 LTS (Ubuntu)
1.5 «Смоленск» (Astra Linux Special Edition)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
18.10 (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
2.12 «Орёл» (Astra Linux Common Edition)
8 (Red Hat Enterprise Linux)
15.0 (OpenSUSE Leap)
15.1 (OpenSUSE Leap)
10 (Debian GNU/Linux)
- (Red Hat Software Collections)
7.2 Advanced Update Support (Red Hat Enterprise Linux)
7.4 US for SAP Solutions (Red Hat Enterprise Linux)
от 2.6 до 3.0.2 включительно (rubygems)
7.4 Telco Extended Update Support (Red Hat Enterprise Linux)
5.10 (CloudForms Management Engine)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем
ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 14.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
Canonical Ltd. Ubuntu 18.10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.0
Novell Inc. OpenSUSE Leap 15.1
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Red Hat Inc. Red Hat Enterprise Linux 7.2 Advanced Update Support
Red Hat Inc. Red Hat Enterprise Linux 7.4 US for SAP Solutions
Red Hat Inc. Red Hat Enterprise Linux 7.4 Telco Extended Update Support
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для jruby:
Обновление программного обеспечения до 1.5.6-9+deb8u1 или более поздней версии
Для Debian:
Обновление программного обеспечения (пакета jruby) до 1.5.6-9+deb8u1 или более поздней версии
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-07/msg00036.html
Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15
Обновление программного обеспечения (пакета jruby) до 1.5.6-9+deb8u1 или более поздней версии
Для Ubuntu:
https://usn.ubuntu.com/3945-1/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-8322
Для ОС ОН «Стрелец»:
Обновление программного обеспечения jruby до версии 1.7.26+repack-1+deb9u3.osnova6

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 49%
0.00254
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. The gem owner command outputs the contents of the API response directly to stdout. Therefore, if the response is crafted, escape sequence injection may occur.

CVSS3: 5.3
redhat
больше 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. The gem owner command outputs the contents of the API response directly to stdout. Therefore, if the response is crafted, escape sequence injection may occur.

CVSS3: 7.5
nvd
около 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. The gem owner command outputs the contents of the API response directly to stdout. Therefore, if the response is crafted, escape sequence injection may occur.

CVSS3: 7.5
debian
около 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. The g ...

CVSS3: 7.5
github
почти 6 лет назад

RubyGems Escape sequence injection vulnerability in gem owner

EPSS

Процентиль: 49%
0.00254
Низкий

7.5 High

CVSS3

7.8 High

CVSS2