BDU:2024-07773 (CVE-2022-23634)

Уязвимость HTTP-сервера для Ruby/Rack приложений Puma, позволяющая нарушителю получить доступ к конфиденциальной информации

Опубликовано: 2024-10-04

Описание

Уязвимость HTTP-сервера для Ruby/Rack приложений Puma связана с раскрытием конфиденциальной информации неавторизованному лицу. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальной информации

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (10)Ubuntu (20.04 LTS)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Ubuntu (22.04 LTS)ОСОН ОСнова Оnyx (до 2.6)Puma (до 4.3.11)Puma (от 5.0.0 до 5.6.2)Ruby on Rails (от 5.0.0 до 5.2.6.2)Ruby on Rails (от 6.0.0 до 6.0.4.6)Ruby on Rails (от 6.1.0 до 6.1.4.6)Ruby on Rails (от 7.0.0 до 7.0.2.2)

Способ устранения

Использование рекомендаций:
Для Puma:
https://github.com/advisories/GHSA-rmj8-8hhh-gv5h

Для Ruby on Rails:
https://github.com/advisories/GHSA-wh98-p28r-vrc9

Для РедоС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-23634

Для Ubuntu:
https://ubuntu.com/security/CVE-2022-23634

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения puma до версии 3.12.0-2+deb10u3

Оценка CVSS

Балл	7.1 — высокая опасность

Источники и патчи

https://github.com/advisories/GHSA-rmj8-8hhh-gv5h https://github.com/advisories/GHSA-wh98-p28r-vrc9 https://redos.red-soft.ru/support/secure/https://security-tracker.debian.org/tracker/CVE-2022-23634 https://ubuntu.com/security/CVE-2022-23634 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.6/

Проверьте безопасность своего сайта и почты → Полная проверка домена