СвежееНовостиМероприятияСтатьиОбзорыОтчетыИнтервьюВидеоБлогиУтечкиУязвимостиДайджестыПродуктыВакансииОбучение
Темы
ИБ ИИ Облака Инфра Dev
О проекте StartUp Hub Контакты Компании Рынки Реклама Политика ПДн
Уязвимости
ФСТЭК России
10.09.2024
#Dev#ИБ#Инфра#Облака

BDU:2024-07261 (CVE-2024-45409) — уязвимость реализации модуля единого входа в приложения SAML библиотеки Ruby SAML и программной платформы на базе

По данным БДУ ФСТЭК России, по состоянию на 09.10.2024.

Критический — 10.0/10 Публичный эксплойт Устранена

Уязвимость реализации модуля единого входа в приложения SAML библиотеки Ruby SAML и программной платформы на базе git для совместной работы над кодом GitLab связана с ошибками проверки криптографической подписи. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, повысить свои привилегии путём отправки специально сформированного SAML-ответа

Кого касается и что делать

  • Уязвимое ПО: Ruby SAML (Ruby Team) — версии до 1.17.0, до 1.12.3; Omniauth SAML (Ruby Team) — версии от 2.1.0 до 2.2.1, от 2.1.0 до 2.1.2, от 1.10.3 до 1.10.5; Gitlab (GitLab) — версии до 17.3.3, до 17.2.7, до 17.1.8, до 17.0.8, до 16.11.10
  • Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, github.com
  • Эксплойт: существует в открытом доступе — приоритет обновления внеочередной

Сведения об уязвимости

Идентификаторы BDU:2024-07261 · CVE-2024-45409
Уровень опасности Критический (базовая оценка CVSS 3.1 — 10.0; CVSS 2.0 — 9.4)
Вектор CVSS 3.1 AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:N
атака по сети, низкая сложность, без прав, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность и целостность
Наименование ФСТЭК Уязвимость реализации модуля единого входа в приложения SAML библиотеки Ruby SAML и программной платформы на базе git для совместной работы над кодом GitLab, позволяющая повысить свои привилегии
Даты Опубликована: 19.09.2024 · Обновлена ФСТЭК: 09.10.2024 · Выявлена: 10.09.2024
Статус уязвимости Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен)
Информация об устранении Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки CWE-347 — некорректная проверка криптографической подписи
Класс уязвимости Уязвимость кода · Способ эксплуатации: подмена при взаимодействии

Уязвимое ПО

  • Ruby SAML (Ruby Team) — версии до 1.17.0, до 1.12.3 · прикладное ПО информационных систем
  • Omniauth SAML (Ruby Team) — версии от 2.1.0 до 2.2.1, от 2.1.0 до 2.1.2, от 1.10.3 до 1.10.5 · прикладное ПО информационных систем
  • Gitlab (GitLab) — версии до 17.3.3, до 17.2.7, до 17.1.8, до 17.0.8, до 16.11.10 · сетевое программное средство

Возможные меры по устранению уязвимости

Обновление.

  • Установка обновлений из доверенных источников.
  • В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Если обновиться нельзя

Источники

ФСТЭК России
Автор: ФСТЭК России
Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.
Комментарии: