BDU:2022-02417 (CVE-2018-17960) — уязвимость WYSIWYG-редактора CKEditor
По данным БДУ ФСТЭК России, по состоянию на 20.04.2022.
Средний — 6.1/10 Публичный эксплойт Устранена
Уязвимость WYSIWYG-редактора CKEditor связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, провести XSS-атаки
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10, 11; Fedora (Fedora Project) — версии 28, 29; CKEditor (The CKEditor Team) — версии от 4.0 до 4.11.0
- Что делать: уязвимость устранена производителем — применить исправления: ckeditor.com, ckeditor.com, lists.fedoraproject.org
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2022-02417 · CVE-2018-17960 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.1; CVSS 2.0 — 5.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость WYSIWYG-редактора CKEditor, связанная с непринятием мер по защите структуры веб-страницы, позволяющая нарушителю провести XSS-атаки |
| Даты | Опубликована: 20.04.2022 · Обновлена ФСТЭК: 20.04.2022 · Выявлена: 14.11.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 8, 10, 11 · операционная система
- Fedora (Fedora Project) — версии 28, 29 · операционная система
- CKEditor (The CKEditor Team) — от 4.0 до 4.11.0 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций:
ckeditor.com/cke4/release/CKEditor-4.11.0
ckeditor.com/blog/CKEditor-4.11-with-emoji-dropdown-and-a…
- Для Fedora: lists.fedoraproject.org/archives/search
- Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2018-17960
