BDU:2022-00305 (CVE-2021-28834)

Уязвимость средств форматирования Rouge программы для грамматического разбора и преобразования формата Markdown Kramdown, связанная с применением входных данных с внешним управлением для выбора классов, позволяющая нарушителю получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Опубликовано: 2022-01-20

Описание

Уязвимость средств форматирования Rouge программы для грамматического разбора и преобразования формата Markdown Kramdown связана с отсутствием ограничения средств форматирования Rouge пространством имен Rouge::Formatters. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным, нарушить их целостность, а также вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition (1.7)Kramdown (от 1.16 до 2.3.1)ОСОН ОСнова Оnyx (до 2.1)

Способ устранения

Для Kramdown:
использование рекомендаций производителя: https://github.com/gettalong/kramdown/pull/708

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2021-28834

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:
Обновление программного обеспечения ruby-kramdown до версии 1.17.0-1+deb10u2

Оценка CVSS

Балл	6.8 — критическая опасность

Источники и патчи

https://github.com/gettalong/kramdown/commit/d6a1cbcb2caa2f8a70927f176070d126b2422760 https://github.com/gettalong/kramdown/pull/708 https://nvd.nist.gov/vuln/detail/CVE-2021-28834 https://security-tracker.debian.org/tracker/CVE-2021-28834 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/

Проверьте безопасность своего сайта и почты → Полная проверка домена