Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02281

Опубликовано: 13 апр. 2022
Источник: fstec
CVSS3: 8.1
CVSS2: 7.6
EPSS Низкий

Описание

Уязвимость библиотеки Ruby/Git интерпретатора Ruby связана с внедрением или модификацией аргумента. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения
Fedora Project
Red Hat Inc.
Elastic NV
Ruby Team

Наименование ПО

Debian GNU/Linux
Fedora
Red Hat Satellite
Logstash
Ruby/Git

Версия ПО

10 (Debian GNU/Linux)
34 (Fedora)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
35 (Fedora)
36 (Fedora)
6.12 for RHEL 8 (Red Hat Satellite)
7.17.18 (Logstash)
до 1.11.0 (Ruby/Git)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Fedora Project Fedora 34
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
Fedora Project Fedora 35
Fedora Project Fedora 36

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,6)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/XWNJA7WPE67LJ3DJMWZ2TADHCZKWMY55/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/PTJUF6SFPL4ZVSJQHGQ36KFPFO5DQVYZ/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/Q2V3HOFU4ZVTQZHAVAVL3EX2KU53SP7R/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-25648
Для Logstash:
https://www.elastic.co/downloads/past-releases/logstash-7-17-18
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-25648
Для Ruby:
https://github.com/ruby-git/ruby-git/pull/569
https://github.com/ruby-git/ruby-git/commit/291ca0946bec7164b90ad5c572ac147f512c7159
Компенсирующие меры для Logstash:
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 81%
0.01598
Низкий

8.1 High

CVSS3

7.6 High

CVSS2

Связанные уязвимости

CVSS3: 8.1
ubuntu
почти 4 года назад

The package git before 1.11.0 are vulnerable to Command Injection via git argument injection. When calling the fetch(remote = 'origin', opts = {}) function, the remote parameter is passed to the git fetch subcommand in a way that additional flags can be set. The additional flags can be used to perform a command injection.

CVSS3: 9.8
redhat
почти 4 года назад

The package git before 1.11.0 are vulnerable to Command Injection via git argument injection. When calling the fetch(remote = 'origin', opts = {}) function, the remote parameter is passed to the git fetch subcommand in a way that additional flags can be set. The additional flags can be used to perform a command injection.

CVSS3: 8.1
nvd
почти 4 года назад

The package git before 1.11.0 are vulnerable to Command Injection via git argument injection. When calling the fetch(remote = 'origin', opts = {}) function, the remote parameter is passed to the git fetch subcommand in a way that additional flags can be set. The additional flags can be used to perform a command injection.

CVSS3: 8.1
debian
почти 4 года назад

The package git before 1.11.0 are vulnerable to Command Injection via ...

CVSS3: 9.8
github
почти 4 года назад

Command injection in ruby-git

EPSS

Процентиль: 81%
0.01598
Низкий

8.1 High

CVSS3

7.6 High

CVSS2