BDU:2022-02008 (CVE-2021-41165) — уязвимость модуля обработки HTML-страниц WYSIWYG-редактора CKEditor
По данным БДУ ФСТЭК России, по состоянию на 08.04.2022.
Высокий — 8.2/10 Устранена
Уязвимость модуля обработки HTML-страниц WYSIWYG-редактора CKEditor связана с непринятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществлять межсайтовые сценарные атаки
Кого касается и что делать
- Уязвимое ПО: Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11; Oracle Banking Digital Experience (Oracle) — версии 18.1, 18.2, 18.3, 19.1, 19.2, 20.1, 21.1; Drupal (Сообщество свободного программного обеспечения) — версии от 9.2 до 9.2.9, от 9.1 до 9.1.14, от 8.9 до 8.9.20; и ещё 2 позиции
- Что делать: уязвимость устранена производителем — применить исправления: github.com, github.com, www.oracle.com
Сведения об уязвимости
| Идентификаторы | BDU:2022-02008 · CVE-2021-41165 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 8.2; CVSS 2.0 — 7.5) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, требуется участие пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность, ограниченное влияние на целостность и доступность |
| Наименование ФСТЭК | Уязвимость модуля обработки HTML-страниц WYSIWYG-редактора CKEditor, позволяющая нарушителю осуществлять межсайтовые сценарные атаки |
| Даты | Опубликована: 08.04.2022 · Обновлена ФСТЭК: 08.04.2022 · Выявлена: 17.11.2021 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Debian GNU/Linux (Сообщество свободного программного обеспечения) — версии 9, 10, 11 · операционная система
- Oracle Banking Digital Experience (Oracle) — версии 18.1, 18.2, 18.3, 19.1, 19.2, 20.1, 21.1 · прикладное ПО информационных систем
- Drupal (Сообщество свободного программного обеспечения) — версии от 9.2 до 9.2.9, от 9.1 до 9.1.14, от 8.9 до 8.9.20 · прикладное ПО информационных систем
- Oracle Banking APIs (Oracle) — версии от 18.1 до 18.3 включительно, 19.1, 19.2, 20.1, 21.1 · прикладное ПО информационных систем
- CKEditor (The CKEditor Team) — до 4.17.0 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для CKEditor: github.com/ckeditor/ckeditor4/blob/major/CHANGES.md; github.com/ckeditor/ckeditor4/security/advisories/GHSA-7h…
- Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujan2022.html
- Для Drupal: www.drupal.org/sa-core-2021-011
- Для Debian GNU/Linux: security-tracker.debian.org/tracker/CVE-2021-41165
