BDU:2024-02595

Уязвимость функции mapValues() служебного модуля Async для работы с асинхронным JavaScript, позволяющая нарушителю повысить свои привилегии

Опубликовано: 2024-04-04

Описание

Уязвимость функции mapValues() служебного модуля Async для работы с асинхронным JavaScript связана с неправильно контролируемой модификации атрибутов прототипа объекта. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, повысить свои привилегии

Затрагиваемое ПО и версии

РЕД ОС (7.3)asyncua (до 2.6.4)asyncua (от 3.0.0 до 3.2.2)

Способ устранения

Для async:
https://github.com/caolan/async/blob/master/lib/internal/iterator.js
https://github.com/caolan/async/blob/master/lib/mapValuesLimit.js
https://github.com/caolan/async/blob/v2.6.4/CHANGELOG.md#v264
https://github.com/caolan/async/commit/e1ecdbf79264f9ab488c7799f4c76996d5dca66d
https://github.com/caolan/async/compare/v2.6.3...v2.6.4
https://github.com/caolan/async/pull/1828

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.2 — высокая опасность

Источники и патчи

https://github.com/caolan/async/blob/master/lib/internal/iterator.js https://github.com/caolan/async/blob/master/lib/mapValuesLimit.js https://github.com/caolan/async/blob/v2.6.4/CHANGELOG.md#v264 https://github.com/caolan/async/commit/e1ecdbf79264f9ab488c7799f4c76996d5dca66d https://github.com/caolan/async/compare/v2.6.3...v2.6.4 https://github.com/caolan/async/pull/1828 https://redos.red-soft.ru/support/secure/

Проверьте безопасность своего сайта и почты → Полная проверка домена