ГлавнаяБаза уязвимостей БДУ → BDU:2023-07138
9высокая

BDU:2023-07138 (CVE-2023-22794)

Уязвимость компонента Active Record программной платформы Ruby on Rails, связанная с возможностью внедрения SQL-кода через комментарии, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2023-10-26
Описание

Уязвимость компонента Active Record программной платформы Ruby on Rails связана с возможностью внедрения SQL-кода через комментарии. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии
Debian GNU/Linux (10)openSUSE TumbleweedDebian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Red Hat Satellite (6)Ruby on Rails (от 7.0.0 до 7.0.4.1)Ruby on Rails (от 6.0.0 до 6.0.6.1)Ruby on Rails (от 6.1.0 до 6.1.7.1)
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- ограничения возможности передачи пользовательских данных в поле «annotate»;
- ограничить возможность использования конфигурации «QueryLogs», которая может включать пользовательский ввод;
- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удалённого доступа;
- минимизация пользовательских привилегий;
- отключение/удаление неиспользуемых учётных записей пользователей.

Использование рекомендаций производителя:
Для Ruby on Rails:
https://discuss.rubyonrails.org/t/cve-2023-22794-sql-injection-vulnerability-via-activerecord-comments/82117

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-22794

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2023-22794

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2023-22794.html

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS
Балл9 — высокая опасность
Источники и патчи
https://discuss.rubyonrails.org/t/cve-2023-22794-sql-injection-vulnerability-via-activerecord-comments/82117https://security-tracker.debian.org/tracker/CVE-2023-22794https://access.redhat.com/security/cve/cve-2023-22794https://www.suse.com/security/cve/CVE-2023-22794.htmlhttp://repo.red-soft.ru/redos/7.3c/x86_64/updates/
Проверьте безопасность своего сайта и почты → Полная проверка домена