BDU:2020-00686 (CVE-2018-16476)

Уязвимость функции MyJob.perform_later программной платформы Ruby on Rails, позволяющая нарушителю получить несанкционированный доступ к конфиденциальным данным

Опубликовано: 2020-02-24

Описание

Уязвимость функции MyJob.perform_later программной платформы Ruby on Rails связана с восстановлением в памяти недостоверной структуры данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к конфиденциальным данным

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Ruby on Rails (от 4.2.0 до 4.2.11)Ruby on Rails (от 5.0.0 до 5.0.7.1)Ruby on Rails (от 5.1.0 до 5.1.6.1)Ruby on Rails (от 5.2.0 до 5.2.1.1)

Способ устранения

Использование рекомендаций:
Для Ruby on Rails:
Обновление программного обеспечения до 2:4.1.8-1+deb8u4 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета rails) до 2:4.2.7.1-1+deb9u1 или более поздней версии

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Оценка CVSS

Балл	5 — высокая опасность

Источники и патчи

https://weblog.rubyonrails.org/2018/11/27/Rails-4-2-5-0-5-1-5-2-have-been-released/https://nvd.nist.gov/vuln/detail/CVE-2018-16476 https://security-tracker.debian.org/tracker/CVE-2018-16476 https://groups.google.com/d/msg/rubyonrails-security/FL4dSdzr2zw/zjKVhF4qBAAJ https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186

Проверьте безопасность своего сайта и почты → Полная проверка домена