BDU:2025-01403

Опубликовано: 09 фев. 2023

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость компонента Active Support PostgreSQL интерпретатора Ruby связана с недостаточной проверкой вводимых пользователем данных в Inflector.underscore. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

ООО «Ред Софт»

Ruby Team

ООО «РусБИТех-Астра»

Наименование ПО

Red Hat 3scale API Management Platform

Debian GNU/Linux

РЕД ОС

Red Hat Satellite

Ruby

ПК СВ «Брест»

Версия ПО

2 (Red Hat 3scale API Management Platform)

11 (Debian GNU/Linux)

12 (Debian GNU/Linux)

7.3 (РЕД ОС)

6.14 for RHEL 8 (Red Hat Satellite)

до 6.1.7.1 (Ruby)

от 7.0.0 до 7.0.4.1 (Ruby)

до 4.0.2 (ПК СВ «Брест»)

до 3.3.4 (ПК СВ «Брест»)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Средство защиты

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11

Сообщество свободного программного обеспечения Debian GNU/Linux 12

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» ПК СВ «Брест» до 4.0.2

ООО «РусБИТех-Астра» ПК СВ «Брест» до 3.3.4

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Ruby:

https://discuss.rubyonrails.org/t/cve-2023-22796-possible-redos-based-dos-vulnerability-in-active-supports-underscore/82116

Для РедоС:

http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2023-22796

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2023-22796

Для ПК СВ «Брест»:

обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 4.0.2, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Для ПК СВ «Брест»:

обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 3.3.4, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2023-22796
CVE

EPSS

Процентиль: 76%

0.01712

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20250203-15

CVSS3: 7.5

redos

больше 1 года назад

Уязвимость rubygem-activesupport

CVE-2023-22796

CVSS3: 7.5

ubuntu

больше 3 лет назад

A regular expression based DoS vulnerability in Active Support <6.1.7.1 and <7.0.4.1. A specially crafted string passed to the underscore method can cause the regular expression engine to enter a state of catastrophic backtracking. This can cause the process to use large amounts of CPU and memory, leading to a possible DoS vulnerability.

CVE-2023-22796

CVSS3: 7.5

redhat

больше 3 лет назад

CVE-2023-22796

CVSS3: 7.5

nvd

больше 3 лет назад

CVE-2023-22796

CVSS3: 7.5

debian

больше 3 лет назад

A regular expression based DoS vulnerability in Active Support <6.1.7. ...

EPSS

Процентиль: 76%

0.01712

Низкий

7.5 High

CVSS3

7.8 High

CVSS2