Уязвимость BDU:2022-03068

Идентификатор: BDU:2022-03068.

Наименование уязвимости: Уязвимость реализации класса Regexp интерпретатора языка программирования Ruby, позволяющая нарушителю вызвать отказ в обслуживании.

Описание уязвимости: Уязвимость реализации класса Regexp интерпретатора языка программирования Ruby связана с ошибкой повторного освобождения памяти. Эксплуатация уязвимости может позволить нарушителю вызвать отказ в обслуживании с помощью специально созданных объектов класса Regexp
Уязвимое ПО: Операционная система Debian GNU/Linux 9 | Операционная система Red Hat Inc. Red Hat Enterprise Linux 8 | Операционная система Debian GNU/Linux 10 | Операционная система Debian GNU/Linux 11 | Операционная система ООО «Ред Софт» РЕД ОС 7.3 | Операционная система АО «ИВК» Альт 8 СП — | Операционная система Red Hat Inc. Red Hat Enterprise Linux 9 | Прикладное ПО информационных систем Ruby Team Ruby от 3.0.0 до 3.0.4 | Прикладное ПО информационных систем Ruby Team Ruby от 3.1.0 до 3.1.2 | Операционная система АО «ИВК» АЛЬТ СП 10 — |

Наименование ОС и тип аппаратной платформы: Debian GNU/Linux 9 | Red Hat Enterprise Linux 8 | Debian GNU/Linux 10 | Debian GNU/Linux 11 | РЕД ОС 73 | Альт 8 СП — | Red Hat Enterprise Linux 9 | АЛЬТ СП 10 — |
Дата выявления: 12.04.2022.
CVSS 2.0: AV:L/AC:L/Au:N/C:N/I:C/A:N
Уровень опасности уязвимости: Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,2)

Возможные меры по устранению:
Использование рекомендаций:
Для Ruby :
https://www.ruby-lang.org/en/news/2022/04/12/double-free-in-regexp-compilation-cve-2022-28738/
https://github.com/ruby/ruby/commit/052ec6d2585c3ace95671013d336f5543624ef3d
https://github.com/ruby/ruby/commit/73f45e5e96ccc13a131f7c0122cf8600ce5b930f

Для продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-28738

Для РЕД ОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для Debian:
https://security-tracker.debian.org/tracker/CVE-2022-28738

Для ОС Альт 8 СП:
установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2022-28738.

Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://redos.red-soft.ru/support/secure/
https://hackerone.com/reports/1220911
https://security-tracker.debian.org/tracker/CVE-2022-28738
https://www.ruby-lang.org/en/news/2022/04/12/double-free-in-regexp-compilation-cve-2022-28738/
https://access.redhat.com/security/cve/cve-2022-28738
https://security-tracker.debian.org/tracker/CVE-2022-28738
https://github.com/ruby/ruby/commit/052ec6d2585c3ace95671013d336f5543624ef3d
https://github.com/ruby/ruby/commit/73f45e5e96ccc13a131f7c0122cf8600ce5b930f
https://nvd.nist.gov/vuln/detail/CVE-2022-28738
https://altsp.su/obnovleniya-bezopasnosti/
https://altsp.su/obnovleniya-bezopasnosti/