正文

kramdown gem for Ruby 注入漏洞

admin
admin V管理员 /0 评论 /13 阅读
0303
此篇文章发布距今已超过1207天，您需要注意文章的内容或图片是否可用！

漏洞信息详情

kramdown gem for Ruby 注入漏洞

  • CNNVD编号：CNNVD-202007-1272
    • <!--
  • 危害等级： 超危-->
  • 危害等级： 超危
  • CVE编号： CVE-2020-14001
  • 漏洞类型： 注入
  • 发布时间： 2020-07-17
  • 威胁类型： 远程
  • 更新时间： 2020-10-28
  • 厂        商：
  • 漏洞来源： Ubuntu

漏洞简介

kramdown gem for Ruby是奥地利Thomas Leitner软件开发者的一款基于Ruby的标记语言解析器。

kramdown gem 2.3.0之前版本（Ruby）中存在安全漏洞，该漏洞源于程序默认情况下会处理Kramdown文档中的template选项。攻击者可利用该漏洞获取非法的读取权限或执行Ruby代码。

漏洞公告

目前厂商已发布升级补丁以修复漏洞，补丁获取链接：

https://github.com/gettalong/kramdown/commit/1b8fd33c3120bfc6e5164b449e2c2fc9c9306fde

参考网址

来源:CONFIRM

链接:https://github.com/gettalong/kramdown/compare/REL_2_2_1...REL_2_3_0

来源:MISC

链接:https://kramdown.gettalong.org

来源:CONFIRM

链接:https://github.com/gettalong/kramdown/commit/1b8fd33c3120bfc6e5164b449e2c2fc9c9306fde

来源:MISC

链接:https://rubygems.org/gems/kramdown

来源:MLIST

链接:https://lists.debian.org/debian-lts-announce/2020/08/msg00014.html

来源:FEDORA

链接:https://lists.fedoraproject.org/archives/list/[email protected]/message/ENMMGKHRQIZ3QKGOMBBBGB6B4LB5I7NQ/

来源:MLIST

链接:https://lists.apache.org/thread.html/r96df7899fbb456fe2705882f710a0c8e8614b573fbffd8d12e3f54d2@%3Cnotifications.fluo.apache.org%3E

来源:CONFIRM

链接:https://kramdown.gettalong.org/news.html

来源:FEDORA

链接:https://lists.fedoraproject.org/archives/list/[email protected]/message/KBLTGBYU7NKOUOHDKVCU4GFZMGA6BP4L/

来源:UBUNTU

链接:https://usn.ubuntu.com/4562-1/

来源:CONFIRM

链接:https://security.netapp.com/advisory/ntap-20200731-0004/

来源:DEBIAN

链接:https://www.debian.org/security/2020/dsa-4743

来源:www.auscert.org.au

链接:https://www.auscert.org.au/bulletins/ESB-2020.3419/

来源:www.auscert.org.au

链接:https://www.auscert.org.au/bulletins/ESB-2020.2749/

来源:vigilance.fr

链接:https://vigilance.fr/vulnerability/Ruby-Kramdown-code-execution-via-template-option-33039

来源:nvd.nist.gov

链接:https://nvd.nist.gov/vuln/detail/CVE-2020-14001

来源:packetstormsecurity.com

链接:https://packetstormsecurity.com/files/159713/Ubuntu-Security-Notice-USN-4562-2.html

来源:www.auscert.org.au

链接:https://www.auscert.org.au/bulletins/ESB-2020.2740/

来源:packetstormsecurity.com

链接:https://packetstormsecurity.com/files/159435/Ubuntu-Security-Notice-USN-4562-1.html

受影响实体

    暂无


补丁

  • kramdown gem for Ruby 注入漏洞的修复措施
    <!--
    2020-7-17
    -->