BDU:2024-04308 (CVE-2024-21490)

Уязвимость компонента ng-srcset среды проектирования приложений и платформы разработки одностраничных приложений Аngular, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-06-03

Описание

Уязвимость компонента ng-srcset среды проектирования приложений и платформы разработки одностраничных приложений Аngular связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Red Hat JBoss Fuse (7)Red Hat Single Sign-On (7)Red Hat Storage (3)Red Hat Quay (3)Debian GNU/Linux (11)Red Hat Satellite (6)Angular (от 1.3.0 до 1.8.3 включительно)

Способ устранения

Компенсирующие меры:
- использование антивирусного программного обеспечения для отслеживания попыток эксплуатации уязвимости;
- использование замкнутой программной среды для работы с файлами, полученными из недоверенных источников;
- использование систем обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости.

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-21490

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-21490

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://support.herodevs.com/hc/en-us/articles/25715686953485-CVE-2024-21490-AngularJS-Regular-Expression-Denial-of-Service-ReDoS https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSBOWER-6241746 https://security.snyk.io/vuln/SNYK-JAVA-ORGWEBJARSNPM-6241747 https://security.snyk.io/vuln/SNYK-JS-ANGULAR-6091113 https://stackblitz.com/edit/angularjs-vulnerability-ng-srcset-redos https://access.redhat.com/security/cve/CVE-2024-21490 https://security-tracker.debian.org/tracker/CVE-2024-21490

Проверьте безопасность своего сайта и почты → Полная проверка домена