BDU:2024-02595

Опубликовано: 06 апр. 2022

Источник: fstec

CVSS3: 7.8

CVSS2: 7.2

EPSS Низкий

Описание

Уязвимость функции mapValues() служебного модуля Async для работы с асинхронным JavaScript связана с неправильно контролируемой модификации атрибутов прототипа объекта. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Вендор

ООО «Ред Софт»

Сообщество свободного программного обеспечения

Наименование ПО

РЕД ОС

asyncua

Версия ПО

7.3 (РЕД ОС)

до 2.6.4 (asyncua)

от 3.0.0 до 3.2.2 (asyncua)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

ООО «Ред Софт» РЕД ОС 7.3

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,2)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,8)

Возможные меры по устранению уязвимости

Для async:

https://github.com/caolan/async/blob/master/lib/internal/iterator.js

https://github.com/caolan/async/blob/master/lib/mapValuesLimit.js

https://github.com/caolan/async/blob/v2.6.4/CHANGELOG.md#v264

https://github.com/caolan/async/commit/e1ecdbf79264f9ab488c7799f4c76996d5dca66d

https://github.com/caolan/async/compare/v2.6.3...v2.6.4

https://github.com/caolan/async/pull/1828

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-43138
CVE

EPSS

Процентиль: 75%

0.00907

Низкий

7.8 High

CVSS3

7.2 High

CVSS2

Связанные уязвимости

ROS-20240704-07

CVSS3: 9.8

redos

12 месяцев назад

Множественные уязвимости opensearch-dashboards

CVE-2021-43138

CVSS3: 7.8

redhat

около 3 лет назад

In Async before 2.6.4 and 3.x before 3.2.2, a malicious user can obtain privileges via the mapValues() method, aka lib/internal/iterator.js createObjectIterator prototype pollution.

CVE-2021-43138

CVSS3: 7.8

nvd

около 3 лет назад

In Async before 2.6.4 and 3.x before 3.2.2, a malicious user can obtain privileges via the mapValues() method, aka lib/internal/iterator.js createObjectIterator prototype pollution.

CVE-2021-43138

CVSS3: 7.8

debian

около 3 лет назад

In Async before 2.6.4 and 3.x before 3.2.2, a malicious user can obtai ...

GHSA-fwr7-v2mv-hh25

CVSS3: 7.8

github

около 3 лет назад

Prototype Pollution in async

EPSS

Процентиль: 75%

0.00907

Низкий

7.8 High

CVSS3

7.2 High

CVSS2