КиберосноваSGRC
BDU:2020-00835
Критический
Эксплойт

BDU:2020-00835: Уязвимость реализации метода интерпретатора языка программирования Ruby, позволяющая нарушителю выполнить произвольный код

CVSS v39.8
CVSS v210.0

Детали уязвимости BDU:2020-00835

Описание

Уязвимость реализации метода интерпретатора языка программирования Ruby связана с неверной нейтрализацией особых элементов в выходных данных, используемых входящим компонентом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью аргумента для Shell#[] или Shell#test из каталога lib/shell.rb

Что делать с BDU:2020-00835

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

⚠ Для этой уязвимости существует публичный эксплойт — риск активной эксплуатации повышен. Устраните в первую очередь.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CVE — международный идентификатор

Тактики и техники

Инъекция

Уязвимое ПО (32)

ВендорНазваниеВерсияПлатформа
Novell Inc.SUSE Linux EnterpriseDesktop 12Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Novell Inc.SUSE Linux Enterprise SDK12 SP4Не указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP1 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP2 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseHigh Performance Computing 12Не указана
Novell Inc.SUSE Linux EnterpriseModule for Basesystem 15 GAНе указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP4Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP2Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP4Не указана
ООО «РусБИТех-Астра»Astra Linux Common Edition2.12 «Орёл»Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP3Не указана
Novell Inc.SUSE CaaS Platform3.0Не указана
Novell Inc.OpenSUSE Leap15.1Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP3 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseServer 11 SP4 LTSSНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
Oracle Corp.GraalVM Enterprise Edition19.3.0.2Не указана
Ruby TeamRubyот 2.4.0 до 2.4.7 включительноНе указана
Ruby TeamRubyот 2.5.0 до 2.5.6 включительноНе указана
Ruby TeamRubyот 2.6.0 до 2.6.4 включительноНе указана
Novell Inc.SUSE CaaS Platform2.0Не указана
Novell Inc.SUSE CaaS Platform1.0Не указана
АО «ИВК»Альт 8 СП-Не указана
IBM Corp.IBM Cloud Foundry Migration Runtime4.1.1Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.9Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.12Не указана

Среды функционирования (23)

ВендорНазваниеВерсияПлатформа
Novell Inc.SUSE Linux EnterpriseDesktop 12Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.5 «Смоленск»Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition1.6 «Смоленск»Не указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP1 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP2 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseHigh Performance Computing 12Не указана
Novell Inc.SUSE Linux EnterpriseModule for Basesystem 15 GAНе указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP4Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP2Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP4Не указана
ООО «РусБИТех-Астра»Astra Linux Common Edition2.12 «Орёл»Не указана
Novell Inc.SUSE Linux EnterpriseServer for SAP Applications 12 SP3Не указана
Novell Inc.OpenSUSE Leap15.1Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
Novell Inc.SUSE Linux EnterpriseServer 12 SP3 LTSSНе указана
Novell Inc.SUSE Linux EnterpriseServer 11 SP4 LTSSНе указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
АО «ИВК»Альт 8 СП-Не указана
АО «Концерн ВНИИНС»ОС ОН «Стрелец»до 16.01.2023Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.9Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.12Не указана

Рекомендации по устранению

Использование рекомендаций: Для Ruby: https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-4-8-released/ https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-5-7-released/ https://www.ruby-lang.org/ja/news/2019/10/01/ruby-2-6-5-released/ Для Debian: https://lists.debian.org/debian-lts-announce/2019/11/msg00025.html https://lists.debian.org/debian-lts-announce/2019/12/msg00009.html Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpujan2020.html Для программных продуктов Novell Inc.: https://lists.opensuse.org/opensuse-security-announce/2020-03/msg00041.html Для программных продуктов IBM Corp.: https://www.ibm.com/support/pages/node/6498497 Для Astra Linux: Обновление программного обеспечения (пакета ruby2.5) до 2.5.5-3+deb10u1 или более поздней версии Для ОС ОН «Стрелец»: Обновление программного обеспечения ruby2.3 до версии 2.3.3-1+deb9u9.osnova2 Обновление программного обеспечения jruby до версии 1.7.26+repack-1+deb9u3.osnova6 Для ОСОН ОСнова Оnyx: Обновление программного обеспечения jruby до версии 9.1.17.0+repack-3+deb10u1osnova1 Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства Обновление программного обеспечения ruby2.5 до версии 2.5.5.repack-3+deb10u6.osnova2u1

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации4.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-07-27

Опубликована

2020-03-04

Обновлена

2025-03-21

Эксплойт

Существует

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат 2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Связанные уязвимости

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0