Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-03178

Опубликовано: 17 июл. 2020
Источник: fstec
CVSS3: 9.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость компонента kramdown gem интерпретатора Ruby существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
Fedora Project
Canonical Ltd.
Ruby Team
АО «Концерн ВНИИНС»

Наименование ПО

Debian GNU/Linux
Fedora
Ubuntu
Ruby
ОС ОН «Стрелец»

Версия ПО

9 (Debian GNU/Linux)
10 (Debian GNU/Linux)
31 (Fedora)
32 (Fedora)
20.04 LTS (Ubuntu)
до 2.3.0 (Ruby)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 31
Fedora Project Fedora 32
Canonical Ltd. Ubuntu 20.04 LTS
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Обновление интерпретатора Ruby до более новой версии.
Для Debian GNU/Linux:
https://debian.org/security/2020/dsa-4743
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ENMMGKHRQIZ3QKGOMBBBGB6B4LB5I7NQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KBLTGBYU7NKOUOHDKVCU4GFZMGA6BP4L/
Для Ubuntu:
https://ubuntu.com/security/notices/USN-4562-1
Для ОС ОН «Стрелец»:
Обновление программного обеспечения ruby-kramdown до версии 1.12.0-1+deb9u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 93%
0.09348
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 9.8
ubuntu
больше 5 лет назад

The kramdown gem before 2.3.0 for Ruby processes the template option inside Kramdown documents by default, which allows unintended read access (such as template="/etc/passwd") or unintended embedded Ruby code execution (such as a string that begins with template="string://<%= `). NOTE: kramdown is used in Jekyll, GitLab Pages, GitHub Pages, and Thredded Forum.

CVSS3: 9.1
redhat
больше 5 лет назад

The kramdown gem before 2.3.0 for Ruby processes the template option inside Kramdown documents by default, which allows unintended read access (such as template="/etc/passwd") or unintended embedded Ruby code execution (such as a string that begins with template="string://<%= `). NOTE: kramdown is used in Jekyll, GitLab Pages, GitHub Pages, and Thredded Forum.

CVSS3: 9.8
nvd
больше 5 лет назад

The kramdown gem before 2.3.0 for Ruby processes the template option inside Kramdown documents by default, which allows unintended read access (such as template="/etc/passwd") or unintended embedded Ruby code execution (such as a string that begins with template="string://<%= `). NOTE: kramdown is used in Jekyll, GitLab Pages, GitHub Pages, and Thredded Forum.

CVSS3: 9.8
debian
больше 5 лет назад

The kramdown gem before 2.3.0 for Ruby processes the template option i ...

suse-cvrf
больше 3 лет назад

Security update for rubygem-kramdown

EPSS

Процентиль: 93%
0.09348
Низкий

9.8 Critical

CVSS3

10 Critical

CVSS2