BDU:2022-02264

Опубликовано: 01 мая 2021

Источник: fstec

CVSS3: 5.3

CVSS2: 5

EPSS Низкий

Описание

Уязвимость библиотеки обработки zip файлов Jszip связана с некорректной обработкой имён файлов. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Сообщество свободного программного обеспечения

Red Hat Inc.

Stuart Knightley

Наименование ПО

Debian GNU/Linux

Red Hat Quay

Jszip

Red Hat Migration Toolkit for Containers

Версия ПО

10 (Debian GNU/Linux)

3 (Red Hat Quay)

11 (Debian GNU/Linux)

до 3.7.0 (Jszip)

- (Red Hat Migration Toolkit for Containers)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Для Jszip:

использование рекомендаций производителя: https://github.com/Stuk/jszip/commit/22357494f424178cb416cdb7d93b26dd4f824b36

Для Debian:

использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-23413

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2021-23413

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-23413
CVE

EPSS

Процентиль: 34%

0.0014

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2021-23413

CVSS3: 5.3

ubuntu

больше 4 лет назад

This affects the package jszip before 3.7.0. Crafting a new zip file with filenames set to Object prototype values (e.g __proto__, toString, etc) results in a returned object with a modified prototype instance.

CVE-2021-23413

CVSS3: 5.3

redhat

почти 5 лет назад

CVE-2021-23413

CVSS3: 5.3

nvd

больше 4 лет назад

CVE-2021-23413

CVSS3: 5.3

debian

больше 4 лет назад

This affects the package jszip before 3.7.0. Crafting a new zip file w ...

GHSA-jg8v-48h5-wgxg

CVSS3: 5.3

github

больше 4 лет назад

jszip Vulnerable to Prototype Pollution

EPSS

Процентиль: 34%

0.0014

Низкий

5.3 Medium

CVSS3

5 Medium

CVSS2