BDU:2024-02887

Опубликовано: 11 апр. 2024

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость функции readCodeFor библиотеки для работы с базами данных mysql2 связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

MySQL2

Версия ПО

до 3.9.4 (MySQL2)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Установка обновлений из доверенных источников.

В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:

- использование средств межсетевого экранирования для ограничения возможности удалённого доступа к базе данных;

- использование антивирусного программного обеспечения для отслеживания средств эксплуатации уязвимостей.

Использование рекомендаций производителя:

https://www.npmjs.com/package/mysql2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-21508
CVE

EPSS

Процентиль: 98%

0.55588

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2024-21508

CVSS3: 9.8

redhat

почти 2 года назад

Versions of the package mysql2 before 3.9.4 are vulnerable to Remote Code Execution (RCE) via the readCodeFor function due to improper validation of the supportBigNumbers and bigNumberStrings values.

CVE-2024-21508

CVSS3: 9.8

nvd

почти 2 года назад

Versions of the package mysql2 before 3.9.4 are vulnerable to Remote Code Execution (RCE) via the readCodeFor function due to improper validation of the supportBigNumbers and bigNumberStrings values.

GHSA-fpw7-j2hg-69v5

CVSS3: 9.8

github

почти 2 года назад

mysql2 Remote Code Execution (RCE) via the readCodeFor function

EPSS

Процентиль: 98%

0.55588

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2