30.03.2023

BDU:2023-02020 (CVE-2023-28756) — уязвимость библиотеки Time интерпретатора Ruby

По данным БДУ ФСТЭК России, по состоянию на 11.03.2026.

Высокий — 7.5/10 Существует эксплойт Есть инциденты ИБ Устранена

Уязвимость библиотеки Time интерпретатора Ruby связана с использованием регулярного выражения c неэффективной вычислительной сложностью. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Кого касается и что делать

Уязвимое ПО: РЕД ОС (ООО «Ред Софт») — версии 7.3; Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8, 3.8; Time Gem (Ruby Team) — версии 0.1.0, 0.2.1; и ещё 3 позиции
Что делать: уязвимость устранена производителем — применить исправления: github.com, www.ruby-lang.org, www.ruby-lang.org
Эксплойт: существует — обновление не откладывать

Сведения об уязвимости

Идентификаторы	BDU:2023-02020 · CVE-2023-28756
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на доступность
Наименование ФСТЭК	Уязвимость библиотеки Time интерпретатора Ruby, позволяющая нарушителю вызвать отказ в обслуживании
Даты	Опубликована: 13.04.2023 · Обновлена ФСТЭК: 11.03.2026 · Выявлена: 30.03.2023
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Существует (эксплойт известен, в открытом доступе не опубликован)
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-1333 — регулярные выражения с неэффективной вычислительной сложностью
Класс уязвимости	Уязвимость кода · Способ эксплуатации: исчерпание ресурсов

Уязвимое ПО

РЕД ОС (ООО «Ред Софт») — 7.3 · операционная система
Astra Linux Special Edition (ООО «РусБИТех-Астра») — версии 1.7, 4.7, 1.8, 3.8 · операционная система
Time Gem (Ruby Team) — версии 0.1.0, 0.2.1 · прикладное ПО информационных систем
Ruby (Ruby Team) — до 2.7.7 включительно · прикладное ПО информационных систем
АЛЬТ СП 10 (АО «ИВК») — операционная система
ОСОН ОСнова Оnyx (АО «НППКТ») — версии до 2.9, до 2.12 · операционная система

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций производителя:
github.com/ruby/time/releases/
www.ruby-lang.org/en/downloads/releases/
www.ruby-lang.org/en/news/2022/12/25/ruby-3-2-0-released/
www.ruby-lang.org/en/news/2023/03/30/redos-in-time-cve-20…

Для ОС Astra Linux: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se17-bulletin-2023-0630SE17MD
Для ОС Astra Linux Special Edition для архитектуры ARM 4.7: использование рекомендаций производителя: wiki.astralinux.ru/astra-linux-se47-bulletin-2023-0907SE47
Для ОСОН ОСнова Оnyx: Обновление программного обеспечения jruby до версии 9.1.17.0+repack-3+deb10u1osnova1
Для РедОС: repo.red-soft.ru/redos/7.3c/x86_64/updates/
Для ОС Альт 8 СП (релиз 10): установка обновления из публичного репозитория программного средства; Обновление программного обеспечения ruby2.5 до версии 2.5.5.repack-3+deb10u6.osnova2u1
Для ОС Astra Linux: обновить пакет ruby3.1 до 3.1.2-7+deb12u1.astra8 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se18-bulletin-2026-0224SE18
Для ОС Astra Linux: обновить пакет ruby3.1 до 3.1.2-7+deb12u1.astra8 или более высокой версии, используя рекомендации производителя: wiki.astralinux.ru/astra-linux-se38-bulletin-2026-0305SE38

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: