BDU:2024-01954

Уязвимость модуля JavaScript для подписи и шифрования объектов JSON jose, связанная с неконтролируемым расходом ресурсов, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-03-14

Описание

Уязвимость модуля JavaScript для подписи и шифрования объектов JSON jose связана с неконтролируемым расходом ресурсов. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

ROSA Virtualization (2.1)jose (до 4.15.4 включительно)jose-node-cjs-runtime (до 4.15.4 включительно)jose-node-esm-runtime (до 4.15.4 включительно)ROSA Virtualization 3.0 (3.0)МСВСфера (9.5)

Способ устранения

Использование рекомендаций:
https://github.com/panva/jose/commit/02a65794f7873cdaf12e81e80ad076fcdc4a9314
https://github.com/panva/jose/commit/1b91d88d2f8233f3477a5f4579aa5f8057b2ee8b
https://github.com/panva/jose/security/advisories/GHSA-hhhv-q57g-882q

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2888

Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2878

Для МСВСфера: https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:9181?lang=ru

Оценка CVSS

Балл	6.1 — средняя опасность

Источники и патчи

https://github.com/panva/jose/commit/02a65794f7873cdaf12e81e80ad076fcdc4a9314 https://github.com/panva/jose/commit/1b91d88d2f8233f3477a5f4579aa5f8057b2ee8b https://github.com/panva/jose/security/advisories/GHSA-hhhv-q57g-882q https://abf.rosa.ru/advisories/ROSA-SA-2025-2888 https://abf.rosa.ru/advisories/ROSA-SA-2025-2878 https://errata.msvsphere-os.ru/definition/9/INFCSA-2024:9181?lang=ru

Проверьте безопасность своего сайта и почты → Полная проверка домена