Банк данных угроз безопасности информации

Федеральная служба по техническому и экспортному контролю

ФСТЭК России

Государственный научно-исследовательский испытательный институт проблем технической защиты информации

ФАУ «ГНИИИ ПТЗИ ФСТЭК России»

BDU:2023-07705: Уязвимость системы управления контентом SPIP, связанная с восстановлением в памяти недостоверных данных , позволяющая нарушителю выполнить произвольный код

Основная информация
Подробнее

Описание уязвимости

Уязвимость системы управления контентом SPIP связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код с помощью специально созданных данных, переданных приложению

Вендор

Сообщество свободного программного обеспечения, Minirezo

Наименование ПО

Debian GNU/Linux, SPIP

Версия ПО

10 (Debian GNU/Linux)
до 4.2.1 (SPIP)

Тип ПО

Операционная система, Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Данные уточняются

Тип ошибки

Восстановление в памяти недостоверных данных

Идентификатор типа ошибки

CWE-502

Класс уязвимости

Уязвимость кода

Дата выявления

02.03.2023

Базовый вектор уязвимости

CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C

CVSS 3.0: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Обновление системы управления контентом SPIP до версий 3.2.18, 4.0.10, 4.1.8, 4.2.1 или новее

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2023-27372

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Способ эксплуатации

Манипулирование ресурсами

Способ устранения

Обновление программного обеспечения

Информация об устранении

Уязвимость устранена

Ссылки на источники

https://www.debian.org/security/2023/dsa-5367
http://packetstormsecurity.com/files/171921/SPIP-Remote-Command-Execution.html
http://packetstormsecurity.com/files/173044/SPIP-4.2.1-Remote-Code-Execution.html
https://blog.spip.net/Mise-a-jour-critique-de-securite-sortie-de-SPIP-4-2-1-SPIP-4-1-8-SPIP-4-0-10-et.html
https://git.spip.net/spip/spip/commit/5aedf49b89415a4df3eb775eee3801a2b4b88266
https://git.spip.net/spip/spip/commit/96fbeb38711c6706e62457f2b732a652a04a409d
https://www.debian.org/security/2023/dsa-5367
https://www.cybersecurity-help.cz/vdb/SB2023030329

Идентификаторы других систем описаний уязвимостей

CVE: CVE-2023-27372

Прочая информация

Данные уточняются

Последние изменения