BDU:2020-00753 (CVE-2019-8322)

Уязвимость команды gem owner системы управления пакетами RubyGems, связанная с выводом содержимого ответа API в стандартный поток вывода, позволяющая нарушителю нарушить целостность данных

Опубликовано: 2020-02-27

Описание

Уязвимость команды gem owner системы управления пакетами RubyGems связана с выводом содержимого ответа API в стандартный поток вывода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, нарушить целостность данных при помощи специально сформированной escape-последовательности

Затрагиваемое ПО и версии

Ubuntu (14.04 LTS)Astra Linux Special Edition (1.5 «Смоленск»)Red Hat Enterprise Linux (7)Ubuntu (16.04 LTS)Debian GNU/Linux (9)Ubuntu (18.04 LTS)Ubuntu (18.10)Astra Linux Special Edition (1.6 «Смоленск»)Astra Linux Common Edition (2.12 «Орёл»)Red Hat Enterprise Linux (8)OpenSUSE Leap (15.0)OpenSUSE Leap (15.1)Debian GNU/Linux (8)Debian GNU/Linux (10)Red Hat Software CollectionsRed Hat Enterprise Linux (7.2 Advanced Update Support)Red Hat Enterprise Linux (7.4 US for SAP Solutions)rubygems (от 2.6 до 3.0.2 включительно)Red Hat Enterprise Linux (7.4 Telco Extended Update Support)CloudForms Management Engine (5.10)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Для jruby:
Обновление программного обеспечения до 1.5.6-9+deb8u1 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета jruby) до 1.5.6-9+deb8u1 или более поздней версии

Для программных продуктов Novell Inc.:
https://lists.opensuse.org/opensuse-security-announce/2019-07/msg00036.html

Для Astra Linux:
https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186
https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15
Обновление программного обеспечения (пакета jruby) до 1.5.6-9+deb8u1 или более поздней версии

Для Ubuntu:
https://usn.ubuntu.com/3945-1/

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2019-8322

Для ОС ОН «Стрелец»:
Обновление программного обеспечения jruby до версии 1.7.26+repack-1+deb9u3.osnova6

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://nvd.nist.gov/vuln/detail/CVE-2019-8322 https://security-tracker.debian.org/tracker/CVE-2019-8322 https://lists.opensuse.org/opensuse-security-announce/2019-07/msg00036.html https://wiki.astralinux.ru/pages/viewpage.action?pageId=57444186 https://usn.ubuntu.com/3945-1/https://access.redhat.com/security/cve/CVE-2019-8322 https://www.suse.com/security/cve/CVE-2019-8322/https://wiki.astralinux.ru/astra-linux-se15-bulletin-20201201SE15

Проверьте безопасность своего сайта и почты → Полная проверка домена