BDU:2021-01399 (CVE-2016-7954)

Уязвимость компонента Gem Name Handler менеджера для управления зависимостями gem в ruby приложениях Bundler, связанная с недостатком механизма управления генерацией кода, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2021-03-21

Описание

Уязвимость компонента Gem Name Handler менеджера для управления зависимостями gem в ruby приложениях Bundler связана с некорректной обработкой gem с одинаковыми именами. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Astra Linux Common Edition (2.12 «Орёл»)Debian GNU/Linux (8)Debian GNU/Linux (10)Bundler (до 1.17.3-3+deb10u1 включительно)ОСОН ОСнова Оnyx (до 2.1)

Способ устранения

Использование рекомендаций:
Для Bundler:
Обновление программного обеспечения до 2.1.4-2~bpo10+1 или более поздней версии

Для Debian:
Обновление программного обеспечения (пакета bundler) до 2.1.4-1 или более поздней версии

Для Astra Linux:
Обновление программного обеспечения (пакета bundler) до 2.1.4-1 или более поздней версии

Для ОСОН Основа:
Обновление программного обеспечения bundler до версии 2.1.4-2~bpo10+1.osnova1

Оценка CVSS

Балл	7.5 — критическая опасность

Источники и патчи

http://collectiveidea.com/blog/archives/2016/10/06/bundlers-multiple-source-security-vulnerability/http://www.securityfocus.com/bid/93423 https://bugzilla.redhat.com/show_bug.cgi?id=1381951 https://github.com/bundler/bundler/issues/5051 https://github.com/bundler/bundler/issues/5062 https://nvd.nist.gov/vuln/detail/CVE-2016-7954 https://security-tracker.debian.org/tracker/CVE-2016-7954 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена