BDU:2021-03178 (CVE-2020-14001)

Уязвимость компонента kramdown gem интерпретатора Ruby, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2021-06-23

Описание

Уязвимость компонента kramdown gem интерпретатора Ruby существует из-за непринятия мер по нейтрализации специальных элементов. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Fedora (31)Fedora (32)Ubuntu (20.04 LTS)Ruby (до 2.3.0)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Использование рекомендаций:
Обновление интерпретатора Ruby до более новой версии.

Для Debian GNU/Linux:
https://debian.org/security/2020/dsa-4743

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ENMMGKHRQIZ3QKGOMBBBGB6B4LB5I7NQ/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KBLTGBYU7NKOUOHDKVCU4GFZMGA6BP4L/

Для Ubuntu:
https://ubuntu.com/security/notices/USN-4562-1

Для ОС ОН «Стрелец»:
Обновление программного обеспечения ruby-kramdown до версии 1.12.0-1+deb9u1

Оценка CVSS

Балл	10 — критическая опасность

Источники и патчи

https://debian.org/security/2020/dsa-4743 https://security-tracker.debian.org/tracker/CVE-2020-14001 https://nvd.nist.gov/vuln/detail/CVE-2020-14001 https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/ENMMGKHRQIZ3QKGOMBBBGB6B4LB5I7NQ/https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/KBLTGBYU7NKOUOHDKVCU4GFZMGA6BP4L/https://ubuntu.com/security/notices/USN-4562-1 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена