BDU:2023-07871 (CVE-2021-41184)

Уязвимость метода .position() библиотеки jQuery UI, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2023-11-15

Описание

Уязвимость метода .position() библиотеки jQuery UI связана с непринятием мер по защите структуры веб-страницы при обработке значений параметра of. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Затрагиваемое ПО и версии

WebLogic Server (12.2.1.3.0)Debian GNU/Linux (10)Primavera Unifier (18.8)WebLogic Server (12.2.1.4.0)Primavera Unifier (19.12)Primavera Unifier (от 17.7 до 17.12 включительно)Oracle Hospitality Materials Control (18.1)Banking Platform (2.9.0)Oracle Agile PLM (9.3.6)WebLogic Server (14.1.1.0.0)Oracle Communications Interactive Session Recorder (6.4)Fedora (33)Hospitality Suite8 (8.10.2)Hospitality Suite8 (от 8.11 до 8.14 включительно)Primavera Unifier (20.12)Oracle Communications Operations Monitor (4.3)Fedora (34)Oracle Hospitality Inventory Management (9.1.0)Debian GNU/Linux (11)Fedora (35)Fedora (36)Oracle Communications Operations Monitor (4.4)Oracle Communications Operations Monitor (5.0)NetApp HCI Baseboard Management Controller H410CNetApp HCI Baseboard Management Controller H300SNetApp HCI Baseboard Management Controller H500SNetApp HCI Baseboard Management Controller H700SNetApp HCI Baseboard Management Controller H410SJD Edwards EnterpriseOne Tools (до 9.2.6.3 включительно)Primavera Unifier (21.12)

Способ устранения

Использование рекомендаций:
Для jQuery-UI:
https://blog.jqueryui.com/2021/10/jquery-ui-1-13-0-released/
https://github.com/jquery/jquery-ui/commit/effa323f1505f2ce7a324e4f429fa9032c72f280
https://github.com/jquery/jquery-ui/security/advisories/GHSA-gpqq-952q-5327

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HVKIOWSXL2RF2ULNAP7PHESYCFSZIJE3/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NXIUUBRVLA4E7G7MMIKCEN75YN7UFERW/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/O74SXYY7RGXREQDQUDQD4BPJ4QQTD2XQ/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SGSY236PYSFYIEBRGDERLA7OSY6D7XL4/
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SNXA7XRKGINWSUIPIZ6ZBCTV6N3KSHES/

Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2023/08/msg00040.html
https://security-tracker.debian.org/tracker/CVE-2021-41184

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuapr2022.html:
https://www.oracle.com/security-alerts/cpujul2022.html

Для Drupal:
https://www.drupal.org/sa-core-2022-001

Для программных продуктов NetApp Inc:
https://security.netapp.com/advisory/ntap-20211118-0004/

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения jqueryui до версии 1.12.1+dfsg-5+deb10u1

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://blog.jqueryui.com/2021/10/jquery-ui-1-13-0-released/https://github.com/jquery/jquery-ui/commit/effa323f1505f2ce7a324e4f429fa9032c72f280 https://github.com/jquery/jquery-ui/security/advisories/GHSA-gpqq-952q-5327 https://lists.debian.org/debian-lts-announce/2023/08/msg00040.html https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/HVKIOWSXL2RF2ULNAP7PHESYCFSZIJE3/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/NXIUUBRVLA4E7G7MMIKCEN75YN7UFERW/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/O74SXYY7RGXREQDQUDQD4BPJ4QQTD2XQ/https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/SGSY236PYSFYIEBRGDERLA7OSY6D7XL4/

Проверьте безопасность своего сайта и почты → Полная проверка домена