Уязвимость BDU:2022-03042
Идентификатор: BDU:2022-03042.
Наименование уязвимости: Уязвимость модуля Node-tar библиотеки Node.js, позволяющая нарушителю записывать произвольные файлы или выполнить произвольный код.
Описание уязвимости: Уязвимость модуля Node-tar библиотеки Node.js связана с недостаточной проверкой имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю записывать произвольные файлы или выполнить произвольный код
Уязвимое ПО: Прикладное ПО информационных систем Oracle Corp. GraalVM Enterprise Edition 20.3.3 | Прикладное ПО информационных систем Oracle Corp. GraalVM Enterprise Edition 21.2.0 | Прикладное ПО информационных систем Node.js Foundation node-tar от 6.1.0 до 6.1.9 | Прикладное ПО информационных систем Node.js Foundation node-tar от 5.0.0 до 5.0.10 | Прикладное ПО информационных систем Node.js Foundation node-tar до 4.4.18 | Сетевое программное средство, Программное средство АСУ ТП IBM Corp. IBM Cloud Private 3.2.1 | Сетевое программное средство, Программное средство АСУ ТП IBM Corp. IBM Cloud Private 3.2.2 | Сетевое средство, Сетевое программное средство Siemens AG SINEC INS до 1.0.1.1 |
Наименование ОС и тип аппаратной платформы: Windows — |
Дата выявления: 31.08.2021.
CVSS 2.0: AV:L/AC:M/Au:N/C:C/I:C/A:N
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 6,3)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,4)
Возможные меры по устранению:
Использование рекомендаций:
Для Node-tar:
https://www.npmjs.com/package/tar
https://github.com/npm/node-tar/tags
https://github.com/npm/node-tar/security/advisories/GHSA-5955-9wpr-37jh
Для программных продуктов IBM:
https://www.ibm.com/blogs/psirt/security-bulletin-security-vulnerabilities-affect-ibm-cloud-private-node-js-cve-2021-37713/
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuoct2021.html
Для SINEC INS:
https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2021-37713.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://cert-portal.siemens.com/productcert/pdf/ssa-389290.pdf
https://github.com/npm/node-tar/security/advisories/GHSA-5955-9wpr-37jh
https://www.npmjs.com/package/tar
https://www.oracle.com/security-alerts/cpuoct2021.html
https://nvd.nist.gov/vuln/detail/CVE-2021-37713
https://access.redhat.com/security/cve/cve-2021-37713
https://www.ibm.com/blogs/psirt/security-bulletin-security-vulnerabilities-affect-ibm-cloud-private-node-js-cve-2021-37713/
