Описание
Уязвимость фреймворка разработки веб-приложений на Ruby Sinatra связана с недостатками ограничения имени пути к каталогу. Эксплуатация уязвимости позволяет нарушителю, действующему удаленно, получить доступ к конфиденциальным данным
Вендор
Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
АО "НППКТ"
Наименование ПО
Debian GNU/Linux
Astra Linux Special Edition
ОСОН ОСнова Оnyx
Sinatra
Версия ПО
9 (Debian GNU/Linux)
8.0 (Debian GNU/Linux)
10 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
до 2.6 (ОСОН ОСнова Оnyx)
до 2.2.0 (Sinatra)
Тип ПО
Операционная система
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
Сообщество свободного программного обеспечения Debian GNU/Linux 9
Сообщество свободного программного обеспечения Debian GNU/Linux 8.0
Сообщество свободного программного обеспечения Debian GNU/Linux 10
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
АО "НППКТ" ОСОН ОСнова Оnyx до 2.6
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)
Возможные меры по устранению уязвимости
Для Sinatra:
использование рекомендаций производителя: https://github.com/sinatra/sinatra/commit/462c3ca1db53ed3cfc394cf5948e9c948ad1c10e
Для Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2022-29970
Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2022-1221SE17MD
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения ruby-sinatra до версии 2.0.5-4+deb10u1
Для ОС Astra Linux Special Edition 4.7 для архитектуры ARM:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0131SE47MD
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 66%
0.00526
Низкий
7.5 High
CVSS3
7.8 High
CVSS2
Связанные уязвимости
CVSS3: 7.5
ubuntu
больше 3 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
redhat
больше 3 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
nvd
больше 3 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches public_dir when serving static files.
CVSS3: 7.5
debian
больше 3 лет назад
Sinatra before 2.2.0 does not validate that the expanded path matches ...
EPSS
Процентиль: 66%
0.00526
Низкий
7.5 High
CVSS3
7.8 High
CVSS2