КиберосноваSGRC
BDU:2025-02819
Высокий

BDU:2025-02819: Уязвимость среды выполнения запросов GraphQL библиотеки Ruby и программной платформы на базе git для совместной работы над кодом GitLab CE/EE, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код

CVSS v39.0
CVSS v27.6
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2025-02819

Описание

Уязвимость среды выполнения запросов GraphQL библиотеки Ruby и программной платформы на базе git для совместной работы над кодом GitLab CE/EE связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2025-02819

Высокая уязвимость (CVSS 9.0) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.0Критический
Пересчитать →
v2
7.6
Только просмотр
AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:HAV:N/AC:H/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-94

CVE — международный идентификатор

CVE-2025-27407
CWE-94
Внедрение кода

Позволяет внедрить и выполнить произвольный код на стороне сервера.

Как атакуют и что делать ▾

Сценарий атаки

Пользовательский ввод передаётся в eval(), exec() или шаблонизатор. Атакующий внедряет произвольный код.

Последствия

Выполнение произвольного кода на сервере, полный контроль.

Рекомендации

Никогда не используйте eval() с пользовательским вводом. Используйте песочницы и white-list.

Тактики и техники

Инъекция

Уязвимое ПО (13)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана
GitLab Inc.Gitlabдо 17.7.7Не указана
GitLab Inc.Gitlabдо 17.8.5Не указана
GitLab Inc.Gitlabдо 17.9.2Не указана
Сообщество свободного программного обеспеченияGraphQLдо 1.11.11Не указана
Сообщество свободного программного обеспеченияGraphQLдо 1.12.25Не указана
Сообщество свободного программного обеспеченияGraphQLдо 1.13.24Не указана
Сообщество свободного программного обеспеченияGraphQLдо 2.0.32Не указана
Сообщество свободного программного обеспеченияGraphQLдо 2.1.15Не указана
Сообщество свободного программного обеспеченияGraphQLдо 2.2.17Не указана
Сообщество свободного программного обеспеченияGraphQLдо 2.3.21Не указана
Сообщество свободного программного обеспеченияGraphQLдо 2.4.13Не указана

Среды функционирования (2)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux11Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux12Не указана

Рекомендации по устранению

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года. Использование рекомендаций: Для GraphQL: https://github.com/github-community-projects/graphql-client https://github.com/rmosolgo/graphql-ruby/commit/28233b16c0eb9d0fb7808f4980e061dc7507c4cd https://github.com/rmosolgo/graphql-ruby/commit/2d2f4ed1f79472f8eed29c864b039649e1de238f https://github.com/rmosolgo/graphql-ruby/commit/5c5a7b9a9bdce143be048074aea50edb7bb747be https://github.com/rmosolgo/graphql-ruby/commit/6eca16b9fa553aa957099a30dbde64ddcdac52ca https://github.com/rmosolgo/graphql-ruby/commit/d0963289e0dab4ea893bbecf12bb7d89294957bb https://github.com/rmosolgo/graphql-ruby/commit/d1117ae0361d9ed67e0795b07f5c3e98e62f3c7c https://github.com/rmosolgo/graphql-ruby/commit/e3b33ace05391da2871c75ab4d3b66e29133b367 https://github.com/rmosolgo/graphql-ruby/security/advisories/GHSA-q92j-grw3-h492 Для Gitlab: https://about.gitlab.com/releases/2025/03/12/patch-release-gitlab-17-9-2-released/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2025-27407

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.0

Уточните SLA под вашу среду

Базовый балл 9.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации2.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2025-03-12

Опубликована

2025-03-17

Обновлена

2025-03-17

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2025-27407 MITRE: CWE-94 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-09233
Средний
7.1

Уязвимость функции setup_vmgexit_scratch() подсистемы KVM ядра операционных систем Linux, позволяющая нарушителю вызвать

BDU:2026-09237
Высокий
9.1

Уязвимость функции check_session_buf_not_used() механизма tls-crypt-v2 программного обеспечения OpenVPN, позволяющая нар

BDU:2026-08984
Высокий
8.0

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с непринятием мер

BDU:2026-08985
Средний
4.3

Уязвимость программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, связанная с неверным управле

BDU:2026-08986
Высокий
8.6

Уязвимость инструмента Duo Workflows программной платформы на базе git для совместной работы над кодом GitLab EE/ CE, по

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0