Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2026-06689

Опубликовано: 10 июл. 2025
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость модуля URI языка программирования Ruby, системы управления пакетами RubyGems связана с раскрытием информации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным

Вендор

Canonical Ltd.
Red Hat Inc.
ООО «РусБИТех-Астра»
ООО «Ред Софт»
Yukihiro Matsumoto, et al.
Сообщество свободного программного обеспечения

Наименование ПО

Ubuntu
Red Hat Enterprise Linux
Astra Linux Special Edition
РЕД ОС
OpenShift
Mruby
rubygems

Версия ПО

16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
8 (Red Hat Enterprise Linux)
20.04 LTS (Ubuntu)
1.7 (Astra Linux Special Edition)
4.7 (Astra Linux Special Edition)
22.04 LTS (Ubuntu)
9 (Red Hat Enterprise Linux)
24.04 LTS (Ubuntu)
10 (Red Hat Enterprise Linux)
25.10 (Ubuntu)
8.0 (РЕД ОС)
- (OpenShift)
26.04 LTS (Ubuntu)
до 0.12.5 (Mruby)
от 0.13.0 до 0.13.2 (Mruby)
от 1.0.0 до 1.0.3 (Mruby)
до 0.12.5 (rubygems)
от 0.13.0 до 0.13.2 (rubygems)
от 1.0.0 до 1.0.3 (rubygems)

Тип ПО

Операционная система
Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Canonical Ltd. Ubuntu 18.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 8
Canonical Ltd. Ubuntu 20.04 LTS
ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7
ООО «РусБИТех-Астра» Astra Linux Special Edition 4.7
Canonical Ltd. Ubuntu 22.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 9
Canonical Ltd. Ubuntu 24.04 LTS
Red Hat Inc. Red Hat Enterprise Linux 10
Canonical Ltd. Ubuntu 25.10
Canonical Ltd. Ubuntu 26.04 LTS

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.
Использование рекомендаций:
Для Ruby:
https://www.ruby-lang.org/en/news/2025/10/07/uri-cve-2025-61594/
Для RubyGems:
https://github.com/ruby/uri/commit/5cec76b9e8777764344fd4aee140e309ad207b68
Для ОС Astra Linux:
обновить пакет ruby2.5 до 2.5.5-3+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2026-0421SE17
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2025-61594
Для Ubuntu:
https://ubuntu.com/security/CVE-2025-61594
Для Ред ОС:
https://redos.red-soft.ru/search/?iblock_id=24&q=CVE-2025-61594
Для ОС Astra Linux:
обновить пакет ruby2.5 до 2.5.5-3+deb10u10.astra2 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2026-0518SE47

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 41%
0.0051
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

redos
3 месяца назад

Уязвимость ruby

CVSS3: 7.5
ubuntu
7 месяцев назад

URI is a module providing classes to handle Uniform Resource Identifiers. In versions 0.12.4 and earlier (bundled in Ruby 3.2 series) 0.13.2 and earlier (bundled in Ruby 3.3 series), 1.0.3 and earlier (bundled in Ruby 3.4 series), when using the + operator to combine URIs, sensitive information like passwords from the original URI can be leaked, violating RFC3986 and making applications vulnerable to credential exposure. This is a a bypass for the fix to CVE-2025-27221 that can expose user credentials. This issue has been fixed in versions 0.12.5, 0.13.3 and 1.0.4.

CVSS3: 6.5
redhat
7 месяцев назад

URI is a module providing classes to handle Uniform Resource Identifiers. In versions 0.12.4 and earlier (bundled in Ruby 3.2 series) 0.13.2 and earlier (bundled in Ruby 3.3 series), 1.0.3 and earlier (bundled in Ruby 3.4 series), when using the + operator to combine URIs, sensitive information like passwords from the original URI can be leaked, violating RFC3986 and making applications vulnerable to credential exposure. This is a a bypass for the fix to CVE-2025-27221 that can expose user credentials. This issue has been fixed in versions 0.12.5, 0.13.3 and 1.0.4.

CVSS3: 7.5
nvd
7 месяцев назад

URI is a module providing classes to handle Uniform Resource Identifiers. In versions 0.12.4 and earlier (bundled in Ruby 3.2 series) 0.13.2 and earlier (bundled in Ruby 3.3 series), 1.0.3 and earlier (bundled in Ruby 3.4 series), when using the + operator to combine URIs, sensitive information like passwords from the original URI can be leaked, violating RFC3986 and making applications vulnerable to credential exposure. This is a a bypass for the fix to CVE-2025-27221 that can expose user credentials. This issue has been fixed in versions 0.12.5, 0.13.3 and 1.0.4.

msrc
7 месяцев назад

URI Credential Leakage Bypass over CVE-2025-27221

EPSS

Процентиль: 41%
0.0051
Низкий

7.5 High

CVSS3

7.8 High

CVSS2