Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2022-03953

Опубликовано: 10 июн. 2022
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость клиентской HTTP-библиотеки Guzzle интерпретатора языка программирования PHP связана с неправильно реализованной проверкой безопасности для стандартных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию

Вендор

Сообщество свободного программного обеспечения
АО "НППКТ"

Наименование ПО

Guzzle
Drupal
ОСОН ОСнова Оnyx

Версия ПО

от 7.0.0 до 7.4.4 (Guzzle)
от 4.0.0 до 6.5.7 (Guzzle)
от 9.4 до 9.4.0-rc2 (Drupal)
от 9.3 до 9.3.16 (Drupal)
от 9.2 до 9.2.21 (Drupal)
до 2.11 (ОСОН ОСнова Оnyx)

Тип ПО

Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

АО "НППКТ" ОСОН ОСнова Оnyx до 2.11

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Guzzle:
https://github.com/advisories/GHSA-f2wf-25xc-69c9
Для Drupal:
https://www.drupal.org/sa-core-2022-011
Для ОСОН ОСнова Оnyx (2.11):
Обновление программного обеспечения mediawiki до версии 1:1.35.13-1+deb11u2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 55%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
около 3 лет назад

Guzzle is an open source PHP HTTP client. In affected versions the `Cookie` headers on requests are sensitive information. On making a request using the `https` scheme to a server which responds with a redirect to a URI with the `http` scheme, or on making a request to a server which responds with a redirect to a a URI to a different host, we should not forward the `Cookie` header on. Prior to this fix, only cookies that were managed by our cookie middleware would be safely removed, and any `Cookie` header manually added to the initial request would not be stripped. We now always strip it, and allow the cookie middleware to re-add any cookies that it deems should be there. Affected Guzzle 7 users should upgrade to Guzzle 7.4.4 as soon as possible. Affected users using any earlier series of Guzzle should upgrade to Guzzle 6.5.7 or 7.4.4. Users unable to upgrade may consider an alternative approach to use your own redirect middleware, rather than ours. If you do not require or expect ...

CVSS3: 7.5
nvd
около 3 лет назад

Guzzle is an open source PHP HTTP client. In affected versions the `Cookie` headers on requests are sensitive information. On making a request using the `https` scheme to a server which responds with a redirect to a URI with the `http` scheme, or on making a request to a server which responds with a redirect to a a URI to a different host, we should not forward the `Cookie` header on. Prior to this fix, only cookies that were managed by our cookie middleware would be safely removed, and any `Cookie` header manually added to the initial request would not be stripped. We now always strip it, and allow the cookie middleware to re-add any cookies that it deems should be there. Affected Guzzle 7 users should upgrade to Guzzle 7.4.4 as soon as possible. Affected users using any earlier series of Guzzle should upgrade to Guzzle 6.5.7 or 7.4.4. Users unable to upgrade may consider an alternative approach to use your own redirect middleware, rather than ours. If you do not require or expect red

CVSS3: 7.5
debian
около 3 лет назад

Guzzle is an open source PHP HTTP client. In affected versions the `Co ...

CVSS3: 7.5
github
около 3 лет назад

Failure to strip the Cookie header on change in host or HTTP downgrade

EPSS

Процентиль: 55%
0.00324
Низкий

7.5 High

CVSS3

7.8 High

CVSS2