BDU:2020-00755

Опубликовано: 17 июн. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Описание

Уязвимость модуля Gem::CommandManage системы управления пакетами RubyGems связана с недостаточным экранированием. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных при помощи специально сформированной escape-последовательности

Вендор

ООО «РусБИТех-Астра»

Red Hat Inc.

Canonical Ltd.

Сообщество свободного программного обеспечения

Novell Inc.

АО «Концерн ВНИИНС»

Наименование ПО

Astra Linux Special Edition

Red Hat Enterprise Linux

Ubuntu

Debian GNU/Linux

Astra Linux Common Edition

OpenSUSE Leap

rubygems

CloudForms Management Engine

ОС ОН «Стрелец»

Версия ПО

1.5 «Смоленск» (Astra Linux Special Edition)

7 (Red Hat Enterprise Linux)

16.04 LTS (Ubuntu)

9 (Debian GNU/Linux)

18.04 LTS (Ubuntu)

18.10 (Ubuntu)

1.6 «Смоленск» (Astra Linux Special Edition)

8.0 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

8 (Red Hat Enterprise Linux)

15.0 (OpenSUSE Leap)

15.1 (OpenSUSE Leap)

14.04 ESM (Ubuntu)

10 (Debian GNU/Linux)

7.4 US for SAP Solutions (Red Hat Enterprise Linux)

от 2.6 до 3.0.2 включительно (rubygems)

7.4 Telco Extended Update Support (Red Hat Enterprise Linux)

7.4 Advanced Update Support (Red Hat Enterprise Linux)

5.10 (CloudForms Management Engine)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система

Прикладное ПО информационных систем

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»

Red Hat Inc. Red Hat Enterprise Linux 7

Canonical Ltd. Ubuntu 16.04 LTS

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Canonical Ltd. Ubuntu 18.04 LTS

Canonical Ltd. Ubuntu 18.10

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»

Сообщество свободного программного обеспечения Debian GNU/Linux 8.0

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. OpenSUSE Leap 15.0

Novell Inc. OpenSUSE Leap 15.1

Canonical Ltd. Ubuntu 14.04 ESM

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Red Hat Inc. Red Hat Enterprise Linux 7.4 US for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 7.4 Telco Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 7.4 Advanced Update Support

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для jruby:

Обновление программного обеспечения до 1.5.6-9+deb8u1 или более поздней версии

Для Debian:

Обновление программного обеспечения (пакета jruby) до 1.5.6-9+deb8u1 или более поздней версии

Для программных продуктов Novell Inc.:

https://lists.opensuse.org/opensuse-security-announce/2019-07/msg00036.html

Для Astra Linux:

https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15

Для Ubuntu:

https://ubuntu.com/security/notices/USN-3945-1

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2019-8325

Для ОС ОН «Стрелец»:

Обновление программного обеспечения jruby до версии 1.7.26+repack-1+deb9u3.osnova6

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-8325
CVE

EPSS

Процентиль: 49%

0.00254

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2019-8325

CVSS3: 7.5

ubuntu

около 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. Since Gem::CommandManager#run calls alert_error without escaping, escape sequence injection is possible. (There are many ways to cause an error.)

CVE-2019-8325

CVSS3: 5.3

redhat

больше 6 лет назад

CVE-2019-8325

CVSS3: 7.5

nvd

около 6 лет назад

CVE-2019-8325

CVSS3: 7.5

debian

около 6 лет назад

An issue was discovered in RubyGems 2.6 and later through 3.0.2. Since ...

GHSA-4wm8-fjv7-j774

CVSS3: 7.5

github

почти 6 лет назад

RubyGems Escape sequence injection in errors

EPSS

Процентиль: 49%

0.00254

Низкий

7.5 High

CVSS3

5 Medium

CVSS2