Куда я попал?

SECURITM это SGRC система, автоматизирующая процессы в службах информационной безопасности. SECURITM помогает построить и управлять ИСПДн, КИИ, ГИС, СМИБ/СУИБ, банковскими системами защиты.
А еще SECURITM это место для обмена опытом и наработками для служб безопасности.

Подробнее

BDU:2023-01956

CVSS: 10

06.04.2023

Уязвимость объекта Error.prepareStackTrace библиотеки vm2 пакетного менеджера NPM, позволяющая нарушителю выйти из изолированной программной среды и выполнить произвольный код

Уязвимость объекта Error.prepareStackTrace библиотеки vm2 пакетного менеджера NPM связана с некорректной обработкой объектов в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выйти из изолированной программной среды и выполнить произвольный код

Статус уязвимости:	Подтверждена производителем Уязвимость устранена
Дата выявления:	06.04.2023
Класс уязвимости:	Уязвимость кода
Наличие эксплойта:	Существует в открытом доступе
Способ эксплуатации:	Манипулирование сроками и состоянием
Способ устранения:	Нет данных
Меры по устранению:	Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование антивирусного обеспечения для обнаружения средств эксплуатации уязвимости; - использование систем обнаружения и предотвращения вторжений для отслеживания попыток эксплуатации уязвимости. Использование рекомендаций: Для vm2: https://github.com/patriksimek/vm2/security/advisories/GHSA-7jxr-cg7f-gpgv Для программных продуктов Red Hat Inc.: https://access.redhat.com/security/cve/cve-2023-29017

Идентификатор типа ошибки

Идентификатор, установленный в соответствии с общим перечнем ошибок CWE

Идентификатор	Описание
CWE-755	CWE-755 Improper Handling of Exceptional Conditions
CWE-913	CWE-913 Improper Control of Dynamically-Managed Code Resources

Идентификаторы CVE уязвимостей

Идентификатор, базы данных общеизвестных уязвимостей информационной безопасности

Идентификатор	Описание
CVE-2023-29017	vm2 Sandbox Escape vulnerability

НКЦКИ уязвимости

Бюллетени НКЦКИ - уязвимости ПО

Идентификатор	Дата бюллетеня	Описание
VULN:20230428-7	28.04.2023	Выполнение произвольного кода в App Connect Enterprise Certified Container

CVSS

Система общей оценки уязвимостей

Оценка	Severity	Версия	Базовый вектор
10	CRITICAL	2.0	AV:N/AC:L/Au:N/C:C/I:C/A:C
10	CRITICAL	3.0	AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Идентификаторы других систем описаний уязвимостей

CVE-2023-29017

Вендор:	Red Hat Inc. Node.js Foundation
Тип ПО:	Сетевое средство Сетевое программное средство Прикладное ПО информационных систем
Наименование ПО:	Red Hat Advanced Cluster Management for Kubernetes vm2
Версия ПО:	2 (Red Hat Advanced Cluster Management for Kubernetes) до 3.9.15 (vm2)
Ссылки на источники:	https://access.redhat.com/security/cve/cve-2023-29017 https://github.com/patriksimek/vm2/security/advisories/GHSA-7jxr-cg7f-gpgv

Мы используем cookie-файлы, чтобы получить статистику, которая помогает нам улучшить сервис для вас с целью персонализации сервисов и предложений. Вы может прочитать подробнее о cookie-файлах или изменить настройки браузера. Продолжая пользоваться сайтом, вы даёте согласие на использование ваших cookie-файлов и соглашаетесь с Политикой обработки персональных данных.

Каталог уязвимостей - БДУ ФСТЭК - BDU:2023-01956