Описание
Уязвимость метода File.fnmatch интерпретатора языка программирования Ruby существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации с помощью специально созданного сценария
Вендор
ООО «РусБИТех-Астра»
Red Hat Inc.
Canonical Ltd.
Сообщество свободного программного обеспечения
Novell Inc.
Oracle Corp.
Ruby Team
АО «ИВК»
АО «Концерн ВНИИНС»
АО "НППКТ"
Наименование ПО
Astra Linux Special Edition
Red Hat Enterprise Linux
Ubuntu
Debian GNU/Linux
OpenSUSE Leap
Astra Linux Special Edition для «Эльбрус»
GraalVM Enterprise Edition
Ruby
Альт 8 СП
ОС ОН «Стрелец»
ОСОН ОСнова Оnyx
Версия ПО
1.5 «Смоленск» (Astra Linux Special Edition)
7 (Red Hat Enterprise Linux)
16.04 LTS (Ubuntu)
9 (Debian GNU/Linux)
18.04 LTS (Ubuntu)
1.6 «Смоленск» (Astra Linux Special Edition)
8.0 (Debian GNU/Linux)
19.04 (Ubuntu)
8 (Red Hat Enterprise Linux)
15.1 (OpenSUSE Leap)
10 (Debian GNU/Linux)
19.10 (Ubuntu)
8.1 «Ленинград» (Astra Linux Special Edition для «Эльбрус»)
19.3.0.2 (GraalVM Enterprise Edition)
от 2.4.0 до 2.4.7 включительно (Ruby)
от 2.5.0 до 2.5.6 включительно (Ruby)
от 2.6.0 до 2.6.4 включительно (Ruby)
2.7.0-preview1 (Ruby)
до 2.3 включительно (Ruby)
- (Альт 8 СП)
до 16.01.2023 (ОС ОН «Стрелец»)
до 2.12 (ОСОН ОСнова Оnyx)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.5 «Смоленск»
Red Hat Inc. Red Hat Enterprise Linux 7
Canonical Ltd. Ubuntu 16.04 LTS
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Canonical Ltd. Ubuntu 18.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.6 «Смоленск»
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Canonical Ltd. Ubuntu 19.04
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. OpenSUSE Leap 15.1
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Canonical Ltd. Ubuntu 19.10
ООО «РусБИТех-Астра» Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»
АО «ИВК» Альт 8 СП -
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023
АО "НППКТ" ОСОН ОСнова Оnyx до 2.12
Уровень опасности уязвимости
Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для Ruby:
https://www.ruby-lang.org/en/news/2019/10/01/nul-injection-file-fnmatch-cve-2019-15845/
Для Debian:
https://lists.debian.org/debian-lts-announce/2019/11/msg00025.html
https://www.debian.org/security/2019/dsa-4587
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2020.html
Для Ubuntu:
https://usn.ubuntu.com/4201-1/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2019-15845
Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00041.html
Для Astra Linux:
Обновление программного обеспечения (пакета ruby2.5) до 2.5.5-3+deb10u1 или более поздней версии
Для ОС ОН «Стрелец»:
Обновление программного обеспечения ruby2.3 до версии 2.3.3-1+deb9u9.osnova2
Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства
Обновление программного обеспечения ruby2.5 до версии 2.5.5.repack-3+deb10u6.osnova2u1
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 55%
0.00329
Низкий
6.5 Medium
CVSS3
6.4 Medium
CVSS2
Связанные уязвимости
CVSS3: 6.5
ubuntu
почти 6 лет назад
Ruby through 2.4.7, 2.5.x through 2.5.6, and 2.6.x through 2.6.4 mishandles path checking within File.fnmatch functions.
CVSS3: 6.5
redhat
почти 6 лет назад
Ruby through 2.4.7, 2.5.x through 2.5.6, and 2.6.x through 2.6.4 mishandles path checking within File.fnmatch functions.
CVSS3: 6.5
nvd
почти 6 лет назад
Ruby through 2.4.7, 2.5.x through 2.5.6, and 2.6.x through 2.6.4 mishandles path checking within File.fnmatch functions.
CVSS3: 6.5
debian
почти 6 лет назад
Ruby through 2.4.7, 2.5.x through 2.5.6, and 2.6.x through 2.6.4 misha ...
EPSS
Процентиль: 55%
0.00329
Низкий
6.5 Medium
CVSS3
6.4 Medium
CVSS2