Уязвимость CVE-2018-6914: Информация

Описание

Directory traversal vulnerability in the Dir.mktmpdir method in the tmpdir library in Ruby before 2.2.10, 2.3.x before 2.3.7, 2.4.x before 2.4.4, 2.5.x before 2.5.1, and 2.6.0-preview1 might allow attackers to create arbitrary directories or files via a .. (dot dot) in the prefix argument.

Важность: HIGH (7,5) Вектор: CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:H/A:N

URL: https://nvd.nist.gov/vuln/detail/CVE-2018-6914

Опубликовано: 4 апреля 2018 г.

Изменено: 21 июля 2019 г.

Идентификатор типа ошибки: CWE-22

Исправленные пакеты

Имя пакета	Ветка	Исправлено в версии	Версия в репозитории	Errata ID	№ Задания	Состояние
ruby	sisyphus	2.5.1-alt1	3.1.4-alt4.3	ALT-PU-2018-1522-1	203208	Исправлено
ruby	p10	2.5.1-alt1	3.1.4-alt2.p10.1	ALT-PU-2018-1522-1	203208	Исправлено
ruby	p9	2.5.1-alt1	2.5.9-alt1	ALT-PU-2018-1522-1	203208	Исправлено
ruby	p8	2.5.1-alt0.M80P.1	2.5.1-alt0.M80P.1	ALT-PU-2018-1698-1	203032	Исправлено
ruby	c10f1	2.5.1-alt1	2.7.4-alt2.2.1	ALT-PU-2018-1522-1	203208	Исправлено
ruby	c9f2	2.5.1-alt1	2.7.6-alt0.1.c9f2	ALT-PU-2018-1522-1	203208	Исправлено
ruby	c7	2.4.4-alt0.M70C.1	2.4.4-alt0.M70C.1	ALT-PU-2018-1813-1	206923	Исправлено

Ссылки на рекомендации, решения и инструменты

Ссылка	Ресурс
https://www.ruby-lang.org/en/news/2018/03/28/unintentional-file-and-directory-creation-with-directory-traversal-cve-2018-6914/	Vendor Advisory
https://www.ruby-lang.org/en/news/2018/03/28/ruby-2-5-1-released/	Patch Release Notes
https://www.ruby-lang.org/en/news/2018/03/28/ruby-2-4-4-released/	Patch Release Notes
https://www.ruby-lang.org/en/news/2018/03/28/ruby-2-3-7-released/	Patch Release Notes
https://www.ruby-lang.org/en/news/2018/03/28/ruby-2-2-10-released/	Patch Release Notes
103686	Third Party Advisory VDB Entry
USN-3626-1	Third Party Advisory
[debian-lts-announce] 20180423 [SECURITY] [DLA 1359-1] ruby1.8 security update	Mailing List Third Party Advisory
[debian-lts-announce] 20180423 [SECURITY] [DLA 1358-1] ruby1.9.1 security update	Third Party Advisory
[debian-lts-announce] 20180714 [SECURITY] [DLA 1421-1] ruby2.1 security update	Mailing List Third Party Advisory
DSA-4259	Third Party Advisory
1042004	Third Party Advisory VDB Entry
RHSA-2018:3731	Third Party Advisory
RHSA-2018:3730	Third Party Advisory
RHSA-2018:3729	Third Party Advisory
openSUSE-SU-2019:1771
RHSA-2019:2028

Подверженные конфигурации:
1. Конфигурация 1
  cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:*
  Start including
  2.3.0
  End excliding
  2.3.7
  cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:*
  Start including
  2.4.0
  End excliding
  2.4.4
  cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:*
  Start including
  2.5.0
  End excliding
  2.5.1
  cpe:2.3:a:ruby-lang:ruby:2.6.0:preview1:*:*:*:*:*:*
  cpe:2.3:a:ruby-lang:ruby:*:*:*:*:*:*:*:*
  Start including
  2.2.0
  End excliding
  2.2.10
  
  Конфигурация 2
  cpe:2.3:o:canonical:ubuntu_linux:16.04:*:*:*:lts:*:*:*
  cpe:2.3:o:canonical:ubuntu_linux:14.04:*:*:*:lts:*:*:*
  cpe:2.3:o:canonical:ubuntu_linux:17.10:*:*:*:*:*:*:*
  
  Конфигурация 3
  cpe:2.3:o:debian:debian_linux:8.0:*:*:*:*:*:*:*
  cpe:2.3:o:debian:debian_linux:7.0:*:*:*:*:*:*:*
  cpe:2.3:o:debian:debian_linux:9.0:*:*:*:*:*:*:*
  
  Конфигурация 4
  cpe:2.3:o:redhat:enterprise_linux:7.4:*:*:*:*:*:*:*
  cpe:2.3:o:redhat:enterprise_linux:7.0:*:*:*:*:*:*:*
  cpe:2.3:o:redhat:enterprise_linux:6.0:*:*:*:*:*:*:*
  cpe:2.3:o:redhat:enterprise_linux:7.5:*:*:*:*:*:*:*
  cpe:2.3:o:redhat:enterprise_linux:7.6:*:*:*:*:*:*:*

Версия: v24.5.0

Наверх

Уязвимость CVE-2018-6914: Информация

Описание

Исправленные пакеты

Ссылки на рекомендации, решения и инструменты

Конфигурация 1

Конфигурация 2

Конфигурация 3

Конфигурация 4