BDU:2021-03242 (CVE-2021-29060)

Уязвимость библиотеки для синтаксического анализа и генерации строк CSS Color-String, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2021-06-25

Описание

Уязвимость библиотеки для синтаксического анализа и генерации строк CSS Color-String связана с неограниченным распределением ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (10)OpenShift Container Platform (4)Color-String (до 1.5.5 включительно)Openshift Service Mesh (2)

Способ устранения

Использование рекомендаций:
Для Color-String:
https://github.com/Qix-/color-string/commit/0789e21284c33d89ebc4ab4ca6f759b9375ac9d3

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-29060

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2021-29060

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/yetingli/SaveResults/blob/main/js/color-string.js https://github.com/yetingli/PoCs/blob/main/CVE-2021-29060/Color-String.md https://github.com/Qix-/color-string/commit/0789e21284c33d89ebc4ab4ca6f759b9375ac9d3 https://www.npmjs.com/package/color-string https://access.redhat.com/security/cve/CVE-2021-29060 https://security-tracker.debian.org/tracker/CVE-2021-29060

Проверьте безопасность своего сайта и почты → Полная проверка домена