Описание
Уязвимость библиотеки для создания PDF-файлов pdfkit связана с недостаточной проверкой аргументов, передаваемых в команду. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнять произвольные команды
Вендор
Fedora Project
Сообщество свободного программного обеспечения
Наименование ПО
Fedora
pdfkit
Версия ПО
35 (Fedora)
36 (Fedora)
37 (Fedora)
до 0.8.7 (pdfkit)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Linux -
Fedora Project Fedora 35
Fedora Project Fedora 36
Fedora Project Fedora 37
Уровень опасности уязвимости
Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Возможные меры по устранению уязвимости
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Использование рекомендаций:
Для pdfkit:
Обновление программного обеспечения до версии 0.8.7 и выше
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/C36GAV3TKM3JXV6UVMLMTTDRCPKSNETQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ESWB6SX7HYWQ54UGBGQOZ7G24O6RAOKD/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JFB2BFKH5SUGRKXMY6PWRQNGKZML7GDT/
Компенсирующие меры:
- использование средств межсетевого экранирования уровня веб-приложений для фильтрации параметров, передаваемых PDFKit;
- очистка пользовательских данных, передаваемых в PDFKit для формирования URL-адреса.
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Существует в открытом доступе
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 99%
0.88788
Высокий
9.8 Critical
CVSS3
10 Critical
CVSS2
Связанные уязвимости
CVSS3: 7.3
nvd
больше 3 лет назад
The package pdfkit from 0.0.0 are vulnerable to Command Injection where the URL is not properly sanitized.
EPSS
Процентиль: 99%
0.88788
Высокий
9.8 Critical
CVSS3
10 Critical
CVSS2