Описание
Уязвимость библиотеки для запросов и фильтрации json jmespath.rb связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании
Вендор
ООО «РусБИТех-Астра»
JMESPath
Наименование ПО
ПК СВ «Брест»
jmespath.rb
Версия ПО
до 3.3.4 (ПК СВ «Брест»)
до 1.6.1 (jmespath.rb)
Тип ПО
Средство защиты
Прикладное ПО информационных систем
Операционные системы и аппаратные платформы
-
Уровень опасности уязвимости
Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)
Критический уровень опасности (базовая оценка CVSS 3.1 составляет 9,8)
Возможные меры по устранению уязвимости
Использование рекомендаций:
Для jmespath.rb:
https://github.com/jmespath/jmespath.rb/commit/e8841280053a9d9a0c90f36223f926c8b9e4ec49
Для ПК СВ «Брест»:
обновление программного обеспечения, применение оперативного обновления ПК СВ «Брест» 3.3.4, предоставляемого в личном кабинете пользователя https://lk.astralinux.ru/ (https://wiki.astralinux.ru/x/ziLoD)
Статус уязвимости
Подтверждена производителем
Наличие эксплойта
Данные уточняются
Информация об устранении
Уязвимость устранена
Ссылки на источники
Идентификаторы других систем описаний уязвимостей
- CVE
EPSS
Процентиль: 84%
0.02425
Низкий
9.8 Critical
CVSS3
7.5 High
CVSS2
Связанные уязвимости
CVSS3: 9.8
ubuntu
больше 4 лет назад
jmespath.rb (aka JMESPath for Ruby) before 1.6.1 uses JSON.load in a situation where JSON.parse is preferable.
CVSS3: 9.8
nvd
больше 4 лет назад
jmespath.rb (aka JMESPath for Ruby) before 1.6.1 uses JSON.load in a situation where JSON.parse is preferable.
CVSS3: 9.8
debian
больше 4 лет назад
jmespath.rb (aka JMESPath for Ruby) before 1.6.1 uses JSON.load in a s ...
CVSS3: 9.8
github
больше 4 лет назад
JMESPath for Ruby uses unsafe JSON.load when safe JSON.parse is preferable
CVSS3: 9.8
altlinux
около 3 лет назад
ALT-PU-2023-4275: package `gem-jmespath` update to version 1.6.2-alt1
EPSS
Процентиль: 84%
0.02425
Низкий
9.8 Critical
CVSS3
7.5 High
CVSS2