BDU:2024-09435 (CVE-2024-47889)

Уязвимость функции block_format расширения Action Text интерпретатора Ruby, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2024-11-14

Описание

Уязвимость функции block_format расширения Action Text интерпретатора Ruby связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Затрагиваемое ПО и версии

Red Hat 3scale API Management Platform (2)Debian GNU/Linux (11)Debian GNU/Linux (12)РЕД ОС (7.3)Red Hat Satellite (6)Action Text (от 6.0.0 до 6.1.7.9)Action Text (от 7.0.0 до 7.0.8.5)Action Text (от 7.1.0 до 7.1.4.1)Action Text (от 7.2.0 до 7.2.1.1)ОСОН ОСнова Оnyx (до 3.1)

Способ устранения

Использование рекомендаций:
Для Action Text:
https://github.com/rails/rails/security/advisories/GHSA-h47h-mwp9-c6q6

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian GNU/Linux::
https://security-tracker.debian.org/tracker/CVE-2024-47889

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2024-47889

Для ОСОН ОСнова Оnyx: Обновление программного обеспечения rails до версии 2:6.1.7.10+dfsg-1~deb12u1

Оценка CVSS

Балл	2.6 — средняя опасность

Источники и патчи

https://github.com/rails/rails/commit/0e5694f4d32544532d2301a9b4084eacb6986e94 https://github.com/rails/rails/commit/3612e3eb3fbafed4f85e1c6ea4c7b6addbb0fdd3 https://github.com/rails/rails/commit/985f1923fa62806ff676e41de67c3b4552131ab9 https://github.com/rails/rails/commit/be898cc996986decfe238341d96b2a6573b8fd2e https://github.com/rails/rails/security/advisories/GHSA-h47h-mwp9-c6q6 https://redos.red-soft.ru/support/secure/https://access.redhat.com/security/cve/CVE-2024-47889 https://security-tracker.debian.org/tracker/CVE-2024-47889

Проверьте безопасность своего сайта и почты → Полная проверка домена