Описание
Уязвимость фреймворка разработки веб-приложений на Ruby Sinatra связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным
Вендор
Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
АО «НППКТ»
Наименование ПО
Debian GNU/Linux
РЕД ОС
Astra Linux Special Edition
ОСОН ОСнова Оnyx
Sinatra
ПК СВ «Брест»
Версия ПО
9 (Debian GNU/Linux)
8 (Debian GNU/Linux)
10 (Debian GNU/Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.6 (ОСОН ОСнова Оnyx)
до 2.2.0 (Sinatra)
до 4.0.2 (ПК СВ «Брест»)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Средство защиты
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО «НППКТ» ОСОН ОСнова Оnyx до 2.6
ООО «РусБИТех-Астра» ПК СВ «Брест» до 4.0.2
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)
Возможные меры по устранению уязвимости
Для Sinatra:
использование рекомендаций производителя: https://github.com/sinatra/sinatra/commit/462c3ca1db53ed3cfc394cf5948e9c948ad1c10e
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-29970
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения ruby-sinatra до версии 2.0.5-4+deb10u1
Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Для ПК СВ «Брест»:
обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 4.0.2, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 81%
0.02179
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
ubuntu
больше 4 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
redhat
больше 4 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
nvd
больше 4 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
debian
больше 4 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches ...
EPSS
Процентиль: 81%
0.02179
Низкий
7.5 High
CVSS3
7.8 High
CVSS2