Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2023-05611

Опубликовано: 11 нояб. 2022
Источник: fstec
CVSS3: 6.5
CVSS2: 6.8
EPSS Низкий

Описание

Уязвимость библиотеки для сериализации и десериализации YAML-документов SnakeYAML связана с переполнением буфера на стеке. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
Fedora Project
Apache Software Foundation

Наименование ПО

Jboss Fuse
Debian GNU/Linux
JBoss Enterprise Application Platform
OpenShift Application Runtimes
Red Hat Single Sign-On
OpenShift Container Platform
A-MQ Clients
Red Hat Integration Camel K
Red Hat JBoss Enterprise Application Platform Expansion Pack
РЕД ОС
Fedora
OpenShift Developer Tools and Services
Red Hat Integration Camel for Spring Boot
Cassandra
SnakeYAML
OpenShift Dev Spaces
Red Hat Enterprise Linux
Migration Toolkit for Runtimes
Migration Toolkit for Applications

Версия ПО

7 (Jboss Fuse)
10 (Debian GNU/Linux)
7 (JBoss Enterprise Application Platform)
- (OpenShift Application Runtimes)
7 (Red Hat Single Sign-On)
4 (OpenShift Container Platform)
2 (A-MQ Clients)
- (Red Hat Integration Camel K)
11 (Debian GNU/Linux)
- (Red Hat JBoss Enterprise Application Platform Expansion Pack)
7.3 (РЕД ОС)
36 (Fedora)
7.4 for RHEL 8 (JBoss Enterprise Application Platform)
7.4 on RHEL 7 (JBoss Enterprise Application Platform)
37 (Fedora)
- (OpenShift Developer Tools and Services)
- (Red Hat Integration Camel for Spring Boot)
7.6 (Red Hat Single Sign-On)
38 (Fedora)
4.1.3 (Cassandra)
до 1.32 (SnakeYAML)
- (OpenShift Dev Spaces)
7.4 for RHEL 9 (JBoss Enterprise Application Platform)
8 Middleware Containers (Red Hat Enterprise Linux)
1 (Migration Toolkit for Runtimes)
6.2 (Migration Toolkit for Applications)

Тип ПО

Прикладное ПО информационных систем
Операционная система
Сетевое программное средство
СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
Fedora Project Fedora 36
Fedora Project Fedora 37
Fedora Project Fedora 38
Red Hat Inc. Red Hat Enterprise Linux 8 Middleware Containers

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,8)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,5)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций:
Для SnakeYAML:
https://bitbucket.org/snakeyaml/snakeyaml/commits/72dfa9f1074abe2b8a6c8776bee4476b0aed02e3
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KSPAJ5Y45A4ZDION2KN5RDWLHK4XKY2J/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/7MKE4XWRXTH32757H7QJU4ACS67DYDCR/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/3DDXEXXWAZGF5AVHIPGFPXIWL6TSMKJE/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-41854
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-41854
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 24%
0.00076
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.5
redos
около 1 года назад

Уязвимость snakeyaml

CVSS3: 5.8
ubuntu
больше 2 лет назад

Those using Snakeyaml to parse untrusted YAML files may be vulnerable to Denial of Service attacks (DOS). If the parser is running on user supplied input, an attacker may supply content that causes the parser to crash by stack overflow. This effect may support a denial of service attack.

CVSS3: 6.5
redhat
больше 2 лет назад

Those using Snakeyaml to parse untrusted YAML files may be vulnerable to Denial of Service attacks (DOS). If the parser is running on user supplied input, an attacker may supply content that causes the parser to crash by stack overflow. This effect may support a denial of service attack.

CVSS3: 5.8
nvd
больше 2 лет назад

Those using Snakeyaml to parse untrusted YAML files may be vulnerable to Denial of Service attacks (DOS). If the parser is running on user supplied input, an attacker may supply content that causes the parser to crash by stack overflow. This effect may support a denial of service attack.

CVSS3: 5.8
debian
больше 2 лет назад

Those using Snakeyaml to parse untrusted YAML files may be vulnerable ...

EPSS

Процентиль: 24%
0.00076
Низкий

6.5 Medium

CVSS3

6.8 Medium

CVSS2