Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02313

Опубликовано: 20 мая 2022
Источник: fstec
CVSS3: 8.2
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость программной библиотеки Nokogiri интерпретатора Ruby связана с неправильной обработкой непредвиденного типа данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, раскрыть защищаемую информацию или вызвать отказ в обслуживании

Вендор

Novell Inc.
Сообщество свободного программного обеспечения
Red Hat Inc.
ООО «Ред Софт»
Elastic NV
Apple Inc.

Наименование ПО

SUSE OpenStack Cloud Crowbar
Debian GNU/Linux
openSUSE Tumbleweed
CloudForms Management Engine
SUSE Linux Enterprise Module for Basesystem
OpenSUSE Leap
РЕД ОС
SUSE Linux Enterprise High Performance Computing
Suse Linux Enterprise Server
SUSE Manager Proxy
SUSE Manager Server
Suse Linux Enterprise Desktop
SUSE Manager Retail Branch Server
SUSE Enterprise Storage
SUSE Linux Enterprise High Availability Extension
Red Hat Satellite
Logstash
MacOS
Nokogiri

Версия ПО

8 (SUSE OpenStack Cloud Crowbar)
10 (Debian GNU/Linux)
9 (SUSE OpenStack Cloud Crowbar)
- (openSUSE Tumbleweed)
5 (CloudForms Management Engine)
15 SP3 (SUSE Linux Enterprise Module for Basesystem)
15.3 (OpenSUSE Leap)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
7.3 (РЕД ОС)
15.4 (OpenSUSE Leap)
15 SP3 (SUSE Linux Enterprise High Performance Computing)
15 SP3 (Suse Linux Enterprise Server)
4.2 (SUSE Manager Proxy)
4.2 (SUSE Manager Server)
15 SP3 (Suse Linux Enterprise Desktop)
15 SP4 (Suse Linux Enterprise Server)
15 SP4 (Suse Linux Enterprise Desktop)
4.2 (SUSE Manager Retail Branch Server)
4.3 (SUSE Manager Retail Branch Server)
4.3 (SUSE Manager Proxy)
4.3 (SUSE Manager Server)
15 SP4 (SUSE Linux Enterprise High Performance Computing)
7.1 (SUSE Enterprise Storage)
15 SP4 (SUSE Linux Enterprise Module for Basesystem)
15 (SUSE Linux Enterprise High Availability Extension)
15 SP1 (SUSE Linux Enterprise High Availability Extension)
15 SP2 (SUSE Linux Enterprise High Availability Extension)
15 SP5 (Suse Linux Enterprise Server)
15 SP5 (Suse Linux Enterprise Desktop)
15 SP5 (SUSE Linux Enterprise High Performance Computing)
15 SP5 (SUSE Linux Enterprise Module for Basesystem)
6.12 for RHEL 8 (Red Hat Satellite)
7.17.18 (Logstash)
от 13.0 до 13.1 (MacOS)
до 1.13.6 (Nokogiri)

Тип ПО

Прикладное ПО информационных систем
Операционная система
ПО виртуализации/ПО виртуального программно-аппаратного средства
Сетевое средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Novell Inc. openSUSE Tumbleweed -
Novell Inc. OpenSUSE Leap 15.3
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «Ред Софт» РЕД ОС 7.3
Novell Inc. OpenSUSE Leap 15.4
Novell Inc. Suse Linux Enterprise Server 15 SP3
Novell Inc. Suse Linux Enterprise Desktop 15 SP3
Novell Inc. Suse Linux Enterprise Server 15 SP4
Novell Inc. Suse Linux Enterprise Desktop 15 SP4
Novell Inc. Suse Linux Enterprise Server 15 SP5
Novell Inc. Suse Linux Enterprise Desktop 15 SP5
Apple Inc. MacOS от 13.0 до 13.1

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 8,2)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-29181.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-29181
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-29181
Для Nokogiri:
https://github.com/sparklemotion/nokogiri/security/advisories/GHSA-xh29-r2w5-wx8m
Для Mac OS:
https://support.apple.com/ru-ru/HT213532
Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Компенсирующие меры для Logstash:
- использование средств межсетевого экранирования и средств обнаружения и предотвращения вторжений (IPS/IDS) для фильтрации и контроля запросов, которые могут позволить нарушителю эксплуатировать уязвимость;
- сегментирование сети для изоляции критически важных приложений от внешних сетей (в т.ч. Интернет).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 90%
0.05756
Низкий

8.2 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

CVSS3: 8.2
redos
5 месяцев назад

Множественные уязвимости rubygem-nokogiri

CVSS3: 8.2
ubuntu
больше 3 лет назад

Nokogiri is an open source XML and HTML library for Ruby. Nokogiri prior to version 1.13.6 does not type-check all inputs into the XML and HTML4 SAX parsers, allowing specially crafted untrusted inputs to cause illegal memory access errors (segfault) or reads from unrelated memory. Version 1.13.6 contains a patch for this issue. As a workaround, ensure the untrusted input is a `String` by calling `#to_s` or equivalent.

CVSS3: 8.2
redhat
больше 3 лет назад

Nokogiri is an open source XML and HTML library for Ruby. Nokogiri prior to version 1.13.6 does not type-check all inputs into the XML and HTML4 SAX parsers, allowing specially crafted untrusted inputs to cause illegal memory access errors (segfault) or reads from unrelated memory. Version 1.13.6 contains a patch for this issue. As a workaround, ensure the untrusted input is a `String` by calling `#to_s` or equivalent.

CVSS3: 8.2
nvd
больше 3 лет назад

Nokogiri is an open source XML and HTML library for Ruby. Nokogiri prior to version 1.13.6 does not type-check all inputs into the XML and HTML4 SAX parsers, allowing specially crafted untrusted inputs to cause illegal memory access errors (segfault) or reads from unrelated memory. Version 1.13.6 contains a patch for this issue. As a workaround, ensure the untrusted input is a `String` by calling `#to_s` or equivalent.

CVSS3: 8.2
debian
больше 3 лет назад

Nokogiri is an open source XML and HTML library for Ruby. Nokogiri pri ...

EPSS

Процентиль: 90%
0.05756
Низкий

8.2 High

CVSS3

8.5 High

CVSS2