BDU:2024-02286

Опубликовано: 05 янв. 2022

Источник: fstec

CVSS3: 8

CVSS2: 9

EPSS Низкий

Описание

Уязвимость библиотеки Ruby/Git интерпретатора Ruby связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Fedora Project

Red Hat Inc.

Elastic NV

Ruby Team

Наименование ПО

Debian GNU/Linux

Fedora

Red Hat Satellite

Logstash

Ruby/Git

Версия ПО

10 (Debian GNU/Linux)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

37 (Fedora)

6.11 for RHEL 7 (Red Hat Satellite)

6.11 for RHEL 8 (Red Hat Satellite)

6.13 for RHEL 8 (Red Hat Satellite)

6.12 for RHEL 8 (Red Hat Satellite)

7.17.18 (Logstash)

6.14 for RHEL 8 (Red Hat Satellite)

до 1.13.0 (Ruby/Git)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

Fedora Project Fedora 37

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-47318

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-47318

Для Fedora:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4KPFLSZPUM7APWVBRM5DCAY5OUVQBF4K/

Для Ruby:

https://github.com/ruby-git/ruby-git/pull/602

Компенсирующие меры для Logstash:

- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимости;

- отключение/удаление неиспользуемых учётных записей пользователей;

- минимизация пользовательских привилегий.

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-47318
CVE

EPSS

Процентиль: 72%

0.00708

Низкий

8 High

CVSS3

9 Critical

CVSS2

Связанные уязвимости

CVE-2022-47318

CVSS3: 8

ubuntu

около 3 лет назад

ruby-git versions prior to v1.13.0 allows a remote authenticated attacker to execute an arbitrary ruby code by having a user to load a repository containing a specially crafted filename to the product. This vulnerability is different from CVE-2022-46648.

CVE-2022-47318

CVSS3: 8

redhat

около 3 лет назад

CVE-2022-47318

CVSS3: 8

nvd

около 3 лет назад

CVE-2022-47318

CVSS3: 8

debian

около 3 лет назад

ruby-git versions prior to v1.13.0 allows a remote authenticated attac ...

GHSA-pphf-gfrm-v32r

CVSS3: 8

github

около 3 лет назад

Code injection in ruby git

EPSS

Процентиль: 72%

0.00708

Низкий

8 High

CVSS3

9 Critical

CVSS2