Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-04953

Опубликовано: 09 авг. 2023
Источник: fstec
CVSS3: 7.5
CVSS2: 7.1
EPSS Низкий

Описание

Уязвимость модуля Module._load() программной платформы Node.js связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, обойти введенные ограничения безопасности

Вендор

Red Hat Inc.
ООО «Ред Софт»
Node.js Foundation
АО «ИВК»
Camunda Services GmbH

Наименование ПО

Red Hat Enterprise Linux
РЕД ОС
Node.js
АЛЬТ СП 10
Camunda Modeler

Версия ПО

8 (Red Hat Enterprise Linux)
7.3 (РЕД ОС)
9 (Red Hat Enterprise Linux)
от 16.0.0 до 16.20.2 (Node.js)
от 18.0.0 до 18.17.1 (Node.js)
от 20.0.0 до 20.5.1 (Node.js)
- (АЛЬТ СП 10)
5.15.1 (Camunda Modeler)

Тип ПО

Операционная система
Сетевое программное средство
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8
ООО «Ред Софт» РЕД ОС 7.3
Red Hat Inc. Red Hat Enterprise Linux 9
АО «ИВК» АЛЬТ СП 10 -

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,1)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.
Использование рекомендаций:
Для Node.js:
https://nodejs.org/ru/blog/vulnerability/august-2023-security-releases
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-32002
Для РЕД ОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 5%
0.00026
Низкий

7.5 High

CVSS3

7.1 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redos
11 месяцев назад

Множественные уязвимости nodejs

CVSS3: 9.8
ubuntu
почти 2 года назад

The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json definition for a given module. This vulnerability affects all users using the experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.

CVSS3: 8.1
redhat
почти 2 года назад

The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json definition for a given module. This vulnerability affects all users using the experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.

CVSS3: 9.8
nvd
почти 2 года назад

The use of `Module._load()` can bypass the policy mechanism and require modules outside of the policy.json definition for a given module. This vulnerability affects all users using the experimental policy mechanism in all active release lines: 16.x, 18.x and, 20.x. Please note that at the time this CVE was issued, the policy is an experimental feature of Node.js.

msrc
6 месяцев назад

HackerOne: CVE-2023-32002 Node.js `Module._load()` policy Remote Code Execution Vulnerability

EPSS

Процентиль: 5%
0.00026
Низкий

7.5 High

CVSS3

7.1 High

CVSS2