BDU:2019-01542 (CVE-2019-11358)

Уязвимость функции jQuery.extend() библиотеки jQuery, позволяющая нарушителю вызвать отказ в обслуживании, выполнить произвольный JavaScript-код или повысить свои привилегии

Опубликовано: 2019-04-23

Описание

Уязвимость функции jQuery.extend() библиотеки jQuery связана с отсутствием ограничений на изменение свойства «__proto__» при выполнении операции extend. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании, выполнить произвольный JavaScript-код или повысить свои привилегии (в зависимости от контекста использования функции jQuery.extend), при помощи специально сформированного JavaScript-объекта

Затрагиваемое ПО и версии

Astra Linux Special Edition (1.5 «Смоленск»)Red Hat Enterprise Linux (7)Debian GNU/Linux (9)WebLogic Server (10.3.6.0.0)WebLogic Server (12.1.3.0.0)Enterprise Manager Ops Center (12.3.3)JD Edwards EnterpriseOne Tools (9.2)Primavera Unifier (16.2)Primavera Unifier (16.1)Fedora (28)PeopleSoft Enterprise PeopleTools (8.55)PeopleSoft Enterprise PeopleTools (8.56)PeopleSoft Enterprise PeopleTools (8.57)Astra Linux Special Edition (1.6 «Смоленск»)Fedora (29)WebLogic Server (12.2.1.3.0)jQuery (до 3.4.0)Red Hat Enterprise Linux (8)OpenSUSE Leap (15.1)Fedora (30)Debian GNU/Linux (8)Communications Billing and Revenue Management (7.5)Communications Billing and Revenue Management (12.0)Enterprise Manager Ops Center (12.4.0)Jboss Fuse (7)Oracle Hospitality Guest Access (4.2.0)Oracle Hospitality Guest Access (4.2.1)Application Testing Suite (13.3.0.1)Primavera Unifier (18.8)Insurance Performance Insight (8.0.7)

Способ устранения

Использование рекомендаций:
Для jQuery:
https://github.com/jquery/jquery/pull/4333
https://github.com/jquery/jquery/commit/753d591aea698e57d6db58c9f722cd0808619b1b
https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=67111271
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15

Для Debian:
https://lists.debian.org/debian-lts-announce/2019/05/msg00006.html
https://lists.debian.org/debian-lts-announce/2019/05/msg00029.html
https://lists.debian.org/debian-lts-announce/2020/02/msg00024.html

Для openSUSE:
https://www.suse.com/security/cve/CVE-2019-11358/

Для продуктов Oracle:
https://www.oracle.com/security-alerts/cpujan2020.html
https://www.oracle.com/security-alerts/cpujul2019.html
https://www.oracle.com/security-alerts/cpuoct2019.html
https://www.oracle.com/security-alerts/cpujul2020.html

Red Hat:
https://access.redhat.com/security/cve/CVE-2019-11358?extIdCarryOver=true&sc_cid=701f2000001OH7JAAW

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WZW27UCJ5CYFL4KFFFMYMIBNMIU2ALG5/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/RLXRX23725JL366CNZGJZ7AQQB7LHQ6F/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/QV3PKZC3PQCO3273HAT76PAQZFBEO4KP/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KYH3OAGR2RTCHRA5NOKX2TES7SNQMWGO/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/5IABSKTYZ5JUGL735UKGXL5YPRYOPUYI/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4UOAZIFCSZ3ENEFOR5IXX6NFAD3HV7FA/

Для ОС ОН «Стрелец»:
Обновление программного обеспечения mediawiki до версии 1:1.27.7-1+deb9u11

Для Moxa:
https://www.moxa.com/en/support/product-support/security-advisory/mpsa-244707-oncell-3120-lte-1-series-multiple-jquery-vulnerabilities

Для ОС Astra Linux 1.6 «Смоленск»:
обновить пакет jquery до 3.1.1-2+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Оценка CVSS

Балл	7.6 — высокая опасность

Источники и патчи

https://blog.jquery.com/2019/04/10/jquery-3-4-0-released/https://github.com/jquery/jquery/commit/753d591aea698e57d6db58c9f722cd0808619b1b https://snyk.io/blog/after-three-years-of-silence-a-new-jquery-prototype-pollution-vulnerability-emerges-once-again/https://snyk.io/vuln/SNYK-JS-JQUERY-174006 https://wiki.astralinux.ru/pages/viewpage.action?pageId=41192827 https://www.oracle.com/security-alerts/cpujul2020.html https://access.redhat.com/security/cve/CVE-2019-11358?extIdCarryOver=true&sc_cid=701f2000001OH7JAAW https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/WZW27UCJ5CYFL4KFFFMYMIBNMIU2ALG5/

Проверьте безопасность своего сайта и почты → Полная проверка домена