Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-01627

Опубликовано: 16 фев. 2023
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость функции process.mainModule.require() программной платформы Node.js, связана с ошибками авторизации. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии

Вендор

Novell Inc.
Red Hat Inc.
Сообщество свободного программного обеспечения
NetApp Inc.
ООО «Ред Софт»
Fedora Project
Node.js Foundation

Наименование ПО

SUSE Linux Enterprise Server for SAP Applications
Suse Linux Enterprise Server
Red Hat Enterprise Linux
Debian GNU/Linux
Red Hat 3scale API Management Platform
ONTAP Tools for VMware vSphere
Brocade SAN Navigator (SANnav)
РЕД ОС
OpenSUSE Leap
Fedora
Node.js

Версия ПО

12 SP3 (SUSE Linux Enterprise Server for SAP Applications)
12 SP4 (SUSE Linux Enterprise Server for SAP Applications)
12 SP3 (Suse Linux Enterprise Server)
12 SP4 (Suse Linux Enterprise Server)
8 (Red Hat Enterprise Linux)
12 SP5 (Suse Linux Enterprise Server)
12 SP5 (SUSE Linux Enterprise Server for SAP Applications)
10 (Debian GNU/Linux)
12 (SUSE Linux Enterprise Server for SAP Applications)
2 (Red Hat 3scale API Management Platform)
11 (Debian GNU/Linux)
12 (Suse Linux Enterprise Server)
- (ONTAP Tools for VMware vSphere)
- (Brocade SAN Navigator (SANnav))
7.3 (РЕД ОС)
15.4 (OpenSUSE Leap)
15 SP3 (Suse Linux Enterprise Server)
15 SP3 (SUSE Linux Enterprise Server for SAP Applications)
15 SP2 (Suse Linux Enterprise Server)
15 SP2 (SUSE Linux Enterprise Server for SAP Applications)
15 SP4 (Suse Linux Enterprise Server)
15 SP2-BCL (Suse Linux Enterprise Server)
15 SP4 (SUSE Linux Enterprise Server for SAP Applications)
9 (Red Hat Enterprise Linux)
15 SP2-LTSS (Suse Linux Enterprise Server)
37 (Fedora)
15 SP3-LTSS (Suse Linux Enterprise Server)
15 SP3-BCL (Suse Linux Enterprise Server)
38 (Fedora)
от 14.0.0 до 14.21.3 (Node.js)
от 16.0.0 до 16.19.1 (Node.js)
от 18.0.0 до 18.14.1 (Node.js)
от 19.0.0 до 19.6.1 (Node.js)

Тип ПО

Операционная система
Прикладное ПО информационных систем
Сетевое программное средство

Операционные системы и аппаратные платформы

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4
Novell Inc. Suse Linux Enterprise Server 12 SP3
Novell Inc. Suse Linux Enterprise Server 12 SP4
Red Hat Inc. Red Hat Enterprise Linux 8
Novell Inc. Suse Linux Enterprise Server 12 SP5
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Novell Inc. Suse Linux Enterprise Server 12
ООО «Ред Софт» РЕД ОС 7.3
Novell Inc. OpenSUSE Leap 15.4
Novell Inc. Suse Linux Enterprise Server 15 SP3
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3
Novell Inc. Suse Linux Enterprise Server 15 SP2
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2
Novell Inc. Suse Linux Enterprise Server 15 SP4
Novell Inc. Suse Linux Enterprise Server 15 SP2-BCL
Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4
Red Hat Inc. Red Hat Enterprise Linux 9
Novell Inc. Suse Linux Enterprise Server 15 SP2-LTSS
Fedora Project Fedora 37
Novell Inc. Suse Linux Enterprise Server 15 SP3-LTSS
Novell Inc. Suse Linux Enterprise Server 15 SP3-BCL
Fedora Project Fedora 38

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Node.js:
https://nodejs.org/en/blog/vulnerability/february-2023-security-releases
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-23918
Для программных продуктов Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-23918
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-23918.html
Для программных продуктов Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/FCZGMVMOQF3IIYLXRDAMUGEYRFMODSFO/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WGNBZL6LNUADB3YLMTFRZU5OKREK65IC/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/357Y2YWSNBYGQTIGXBE44REBOKU27PLK/
Для программных продуктов NetApp Inc:
https://security.netapp.com/advisory/ntap-20230316-0008/
Для РЕД ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 3%
0.00019
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redos
9 месяцев назад

Множественные уязвимости nodejs

CVSS3: 7.5
ubuntu
больше 2 лет назад

A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.

CVSS3: 7.5
redhat
больше 2 лет назад

A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.

CVSS3: 7.5
nvd
больше 2 лет назад

A privilege escalation vulnerability exists in Node.js <19.6.1, <18.14.1, <16.19.1 and <14.21.3 that made it possible to bypass the experimental Permissions (https://nodejs.org/api/permissions.html) feature in Node.js and access non authorized modules by using process.mainModule.require(). This only affects users who had enabled the experimental permissions option with --experimental-policy.

CVSS3: 7.5
msrc
больше 2 лет назад

Описание отсутствует

EPSS

Процентиль: 3%
0.00019
Низкий

7.5 High

CVSS3

7.8 High

CVSS2