Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-01888

Опубликовано: 28 нояб. 2022
Источник: fstec
CVSS3: 8.8
CVSS2: 10
EPSS Низкий

Описание

Уязвимость фреймворка разработки веб-приложений на Ruby Sinatra связана с загрузкой кода без проверки его целостности. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Red Hat Inc.
Сообщество свободного программного обеспечения
ООО «Ред Софт»
ООО «РусБИТех-Астра»
АО "НППКТ"
Novell Inc.
Elastic NV

Наименование ПО

Red Hat Enterprise Linux
Debian GNU/Linux
Red Hat 3scale API Management Platform
РЕД ОС
Astra Linux Special Edition
ОСОН ОСнова Оnyx
SUSE Liberty Linux
Logstash
Sinatra

Версия ПО

8 (Red Hat Enterprise Linux)
10 (Debian GNU/Linux)
2 (Red Hat 3scale API Management Platform)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
8.1 Update Services for SAP Solutions (Red Hat Enterprise Linux)
8.4 Extended Update Support (Red Hat Enterprise Linux)
7.3 (РЕД ОС)
1.7 (Astra Linux Special Edition)
9 (Red Hat Enterprise Linux)
8.2 Telecommunications Update Service (Red Hat Enterprise Linux)
8.2 Update Services for SAP Solutions (Red Hat Enterprise Linux)
8.6 Extended Update Support (Red Hat Enterprise Linux)
9.0 Extended Update Support (Red Hat Enterprise Linux)
до 2.7 (ОСОН ОСнова Оnyx)
9 (SUSE Liberty Linux)
8 (SUSE Liberty Linux)
7.17.18 (Logstash)
от 2.0.0 до 2.2.3 (Sinatra)
от 3.0.0 до 3.0.4 (Sinatra)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions
Red Hat Inc. Red Hat Enterprise Linux 8.4 Extended Update Support
ООО «Ред Софт» РЕД ОС 7.3
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
Red Hat Inc. Red Hat Enterprise Linux 9
Red Hat Inc. Red Hat Enterprise Linux 8.2 Telecommunications Update Service
Red Hat Inc. Red Hat Enterprise Linux 8.2 Update Services for SAP Solutions
Red Hat Inc. Red Hat Enterprise Linux 8.6 Extended Update Support
Red Hat Inc. Red Hat Enterprise Linux 9.0 Extended Update Support
АО "НППКТ" ОСОН ОСнова Оnyx до 2.7
Novell Inc. SUSE Liberty Linux 9
Novell Inc. SUSE Liberty Linux 8

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Sinatra:
https://github.com/sinatra/sinatra/commit/ea8fc9495a350f7551b39e3025bfcd06f49f363b
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-45442
Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-45442.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-45442
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения ruby-sinatra до версии 2.0.5-4+deb10u2
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для Logstash:
Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.
Для ОС Astra Linux Special Edition 1.7:
обновить пакет ruby-sinatra до 2.0.5-4+deb10u2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0303SE17MD

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 35%
0.00142
Низкий

8.8 High

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVSS3: 8.8
redos
больше 1 года назад

Уязвимость rubygem-sinatra

CVSS3: 8.8
ubuntu
почти 3 года назад

Sinatra is a domain-specific language for creating web applications in Ruby. An issue was discovered in Sinatra 2.0 before 2.2.3 and 3.0 before 3.0.4. An application is vulnerable to a reflected file download (RFD) attack that sets the Content-Disposition header of a response when the filename is derived from user-supplied input. Version 2.2.3 and 3.0.4 contain patches for this issue.

CVSS3: 8.8
redhat
почти 3 года назад

Sinatra is a domain-specific language for creating web applications in Ruby. An issue was discovered in Sinatra 2.0 before 2.2.3 and 3.0 before 3.0.4. An application is vulnerable to a reflected file download (RFD) attack that sets the Content-Disposition header of a response when the filename is derived from user-supplied input. Version 2.2.3 and 3.0.4 contain patches for this issue.

CVSS3: 8.8
nvd
почти 3 года назад

Sinatra is a domain-specific language for creating web applications in Ruby. An issue was discovered in Sinatra 2.0 before 2.2.3 and 3.0 before 3.0.4. An application is vulnerable to a reflected file download (RFD) attack that sets the Content-Disposition header of a response when the filename is derived from user-supplied input. Version 2.2.3 and 3.0.4 contain patches for this issue.

CVSS3: 8.8
debian
почти 3 года назад

Sinatra is a domain-specific language for creating web applications in ...

EPSS

Процентиль: 35%
0.00142
Низкий

8.8 High

CVSS3

10 Critical

CVSS2