Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02457

Опубликовано: 19 мар. 2024
Источник: fstec
CVSS3: 4.5
CVSS2: 3.7
EPSS Низкий

Описание

Уязвимость встроенного генератора документации RDoc для языка программирования Ruby связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю выполнить произвольный код с помощью специально сформированных файлов с расширением .rdoc_options

Вендор

Сообщество свободного программного обеспечения
ООО «РусБИТех-Астра»
Red Hat Inc.
Ruby Team

Наименование ПО

Debian GNU/Linux
Astra Linux Special Edition
Red Hat Satellite
rdoc
Ruby

Версия ПО

10 (Debian GNU/Linux)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
6 (Red Hat Satellite)
до 6.3.4.1 (rdoc)
от 6.4.0 до 6.6.3.1 (rdoc)
3.3.0 (Ruby)
до 3.0.6 включительно (Ruby)
от 3.1.0 до 3.1.4 включительно (Ruby)
от 3.2.0 до 3.2.3 включительно (Ruby)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 3,7)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для программных продуктов Ruby Team:
https://www.ruby-lang.org/en/news/2024/03/21/rce-rdoc-cve-2024-27281/
https://github.com/ruby/rdoc/commit/da7a0c7553ef7250ca665a3fecdc01dbaacbb43d
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2024-27281
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-27281
Для ОС Astra Linux:
обновить пакет ruby2.5 до 2.5.5-3+deb10u7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2025-0319SE17
Для ОС Astra Linux:
обновить пакет ruby2.5 до 2.5.5-3+deb10u7 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2025-0422SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 86%
0.03067
Низкий

4.5 Medium

CVSS3

3.7 Low

CVSS2

Связанные уязвимости

CVSS3: 4.5
ubuntu
около 1 года назад

An issue was discovered in RDoc 6.3.3 through 6.6.2, as distributed in Ruby 3.x through 3.3.0. When parsing .rdoc_options (used for configuration in RDoc) as a YAML file, object injection and resultant remote code execution are possible because there are no restrictions on the classes that can be restored. (When loading the documentation cache, object injection and resultant remote code execution are also possible if there were a crafted cache.) The main fixed version is 6.6.3.1. For Ruby 3.0 users, a fixed version is rdoc 6.3.4.1. For Ruby 3.1 users, a fixed version is rdoc 6.4.1.1. For Ruby 3.2 users, a fixed version is rdoc 6.5.1.1.

CVSS3: 4.5
redhat
около 1 года назад

An issue was discovered in RDoc 6.3.3 through 6.6.2, as distributed in Ruby 3.x through 3.3.0. When parsing .rdoc_options (used for configuration in RDoc) as a YAML file, object injection and resultant remote code execution are possible because there are no restrictions on the classes that can be restored. (When loading the documentation cache, object injection and resultant remote code execution are also possible if there were a crafted cache.) The main fixed version is 6.6.3.1. For Ruby 3.0 users, a fixed version is rdoc 6.3.4.1. For Ruby 3.1 users, a fixed version is rdoc 6.4.1.1. For Ruby 3.2 users, a fixed version is rdoc 6.5.1.1.

CVSS3: 4.5
nvd
около 1 года назад

An issue was discovered in RDoc 6.3.3 through 6.6.2, as distributed in Ruby 3.x through 3.3.0. When parsing .rdoc_options (used for configuration in RDoc) as a YAML file, object injection and resultant remote code execution are possible because there are no restrictions on the classes that can be restored. (When loading the documentation cache, object injection and resultant remote code execution are also possible if there were a crafted cache.) The main fixed version is 6.6.3.1. For Ruby 3.0 users, a fixed version is rdoc 6.3.4.1. For Ruby 3.1 users, a fixed version is rdoc 6.4.1.1. For Ruby 3.2 users, a fixed version is rdoc 6.5.1.1.

CVSS3: 4.5
msrc
около 1 года назад

Описание отсутствует

CVSS3: 4.5
debian
около 1 года назад

An issue was discovered in RDoc 6.3.3 through 6.6.2, as distributed in ...

EPSS

Процентиль: 86%
0.03067
Низкий

4.5 Medium

CVSS3

3.7 Low

CVSS2

Уязвимость BDU:2024-02457