ГлавнаяБаза уязвимостей БДУ → BDU:2021-05213
6.5высокая

BDU:2021-05213 (CVE-2021-29472)

Уязвимость компонента HgDriver менеджера зависимостей для PHP Composer, связанная с внедрением или модификацией аргумента, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании
Опубликовано: 2021-10-27
Описание

Уязвимость компонента HgDriver менеджера зависимостей для PHP Composer связана с неправильной очисткой URL Mercurial-репозиториев. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании с помощью специально созданного URL

Затрагиваемое ПО и версии
Debian GNU/Linux (9)Astra Linux Special Edition (1.6 «Смоленск»)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition для «Эльбрус» (8.1 «Ленинград»)Composer (до 1.10.22)Composer (от 2.0 до 2.0.13)Astra Linux Special Edition (1.7)Astra Linux Special Edition (4.7)ОСОН ОСнова Оnyx (до 2.1)
Способ устранения

Для Composer:
использование рекомендаций производителя: https://github.com/composer/composer/security/advisories/GHSA-h5h8-pc6h-jvvx

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-29472

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se47-bulletin-2022-0114SE47

Для ОСОН Основа:
Обновление программного обеспечения composer до версии 1.8.4-1+deb10u1

Для Astra Linux Special Edition для «Эльбрус» 8.1 «Ленинград»:
обновить пакет composer до 1.2.2-1+deb9u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20230315SE81

Для ОС Astra Linux Special Edition 1.7:
обновить пакет composer до 1.8.4-1+deb10u1 или более высокой версии, используя рекомендации производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Оценка CVSS
Балл6.5 — высокая опасность
Источники и патчи
https://getcomposer.org/https://github.com/composer/composer/commit/083b73515d1d72bc61c6374440b3f8a37531f8cfhttps://github.com/composer/composer/security/advisories/GHSA-h5h8-pc6h-jvvxhttps://nvd.nist.gov/vuln/detail/CVE-2021-29472https://security-tracker.debian.org/tracker/CVE-2021-29472https://twitter.com/cyber_advising/status/1388016208193130497https://wiki.astralinux.ru/astra-linux-se16-bulletin-20211008SE16https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17
Проверьте безопасность своего сайта и почты → Полная проверка домена