CVE-2023-46809Средний
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →Поделиться ссылкой
Любой, у кого есть ссылка, сможет открыть эту уязвимость.
Версии Node.js, которые объединяют неисправленную версию OpenSSL или запускаются для динамически связанной версии OpenSSL, которые не испра…
CVSS
5.9
Средний
EPSS
0.01
p66
Опубликовано
2023-01-01
Обновлено
2023-01-01
Описание
Версии Node.js, которые объединяют неисправленную версию OpenSSL или запускаются для динамически связанной версии OpenSSL, которые не исправлены, уязвимы для атаки Marvin - https://people.redhat.com/~hkario/marvin/, если разрешено заполнение PCKS #1 v1.5 при выполнении RSA-дескрипции с использованием закрытого ключа.
Теги · CWE
Без аутентификации
CWE-385
CWE-385БазаНеполный
Скрытый временной канал
Скрытые временные каналы передают информацию, модифицируя некоторый аспект поведения системы во времени, чтобы программа-получатель могла наблюдать поведение системы и извлекать защищённую информацию.
https://cwe.mitre.org/data/definitions/385.html →Открыть в коллекции CWE →CAPEC-462
CAPEC-462ДетальныйЧерновик
Измерение времени междоменных запросов
Злоумышленник инициирует межсайтовые HTTP / GET-запросы и измеряет время отклика сервера. Данные о времени отклика могут раскрывать важную информацию о происходящем на сервере. Политика единого источника браузера не позволяет злоумышленнику напрямую читать ответы сервера (при отсутствии других уязвимостей), однако не препятствует измерению времени отклика на запросы, инициированные злоумышленником из другого домена.
https://capec.mitre.org/data/definitions/462.html →Открыть в коллекции CAPEC →Затронутые продукты
NodeNode-develNode-docNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejsNodejs
Вектор CVSS
CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:N/A:N
Хронология
2023-01-01
Опубликована
2023-01-01
Обновлена
Разбор CVSS 3.1
Вектор атаки
AV: N
Сеть (N)
Сложность атаки
AC: H
Высокая (H)
Требуемые привилегии
PR: N
Отсутствуют (N)
Взаимодействие с пользователем
UI: N
Отсутствует (N)
Область воздействия
S: U
Неизменная (U)
Воздействие на конфиденциальность
C: H
Высокое (H)
Воздействие на целостность
I: N
Отсутствует (N)
Воздействие на доступность
A: N
Отсутствует (N)
Индикаторы эксплуатации
EPSS
0.013 · p66
Известна эксплуатация (KEV)
Нет
Проверки Сканер-ВС
Проверок Сканер-ВС для этой уязвимости в базе пока нет.
Затронутые продукты
| Продукт | Вендор | Статус |
|---|---|---|
| Отслеживается | ||
| node | Отслеживается | |
| node-devel | Отслеживается | |
| node-doc | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается | |
| nodejs | Отслеживается |
Показаны первые 20 из 25
Источники данных
ANC
ANC
Коррекции базы Anchore
Дополнительная лента, накладываемая поверх upstream-источников. Мейнтейнеры Anchore публикуют корректирующие записи, чтобы подавить известные ложные срабатывания и восполнить пробелы в CPE/PURL, из-за которых Grype и аналогичные сканеры могут некорректно оценить систему.
Регион
США
Обновления
6 ч
Лицензия
Apache-2.0
Выверенные коррекции базы уязвимостей Anchore/Grype: подавление ложных срабатываний, недостающие привязки CPE и дистрибутив-специфичные бэкпорты исправлений.
https://github.com/anchore/grype-db →AST
AST
Бюллетени безопасности Astra Linux
Astra публикует бюллетени для каждого релиза, сопоставляя upstream CVE с собственными репозиториями пакетов, с указанием сроков устранения в привязке к уровню сертификации (SE 1.7, CE 2.12 и т. д.). Необходимый источник для систем, требующих сертификации ФСТЭК/ФСБ.
Регион
Россия
Обновления
24 ч
Лицензия
Открытые данные
Вендорские бюллетени безопасности Astra Linux Special Edition и Common Edition — основной сертифицированной ОС для обороны и критической инфраструктуры РФ.
https://wiki.astralinux.ru/pages/viewpage.action?pageId=27362056 →DEB
DEB
Бюллетени безопасности Debian (DSA)
DSA публикуются командой безопасности Debian для проблем, затрагивающих стабильный дистрибутив. Трекер security-tracker.debian.org дополнительно сопоставляет каждый CVE со статусом на уровне пакетов по всем поддерживаемым редакциям.
Регион
Международно
Обновления
1 ч
Лицензия
Общественное достояние
Бюллетени для стабильной и предыдущей стабильной версий Debian. Примечания к релизам содержат точную версию .deb-пакета, устраняющего каждую уязвимость.
https://www.debian.org/security/ →RED
RED
Бюллетени безопасности Red Hat (RHSA)
Бюллетени Red Hat являются авторитетным источником для систем семейства RHEL: каждая запись содержит точный NEVRA исправленного пакета, затронутые потоки и собственную оценку критичности Red Hat, которая может отличаться от NVD. Большинство производных проектов (CentOS Stream, Rocky, Alma) используют эти идентификаторы.
Регион
США
Обновления
1 ч
Лицензия
CC BY-SA 4.0
Бюллетени для Red Hat Enterprise Linux, OpenShift, Ansible и прочих продуктов Red Hat. Содержит подробное отслеживание бэкпортов — критически важно для LTS-дистрибутивов.
https://access.redhat.com/security/security-updates/ →UBU
UBU
Бюллетени безопасности Ubuntu (USN)
USN являются авторитетным источником для систем Ubuntu. CVE Tracker связывает каждую уязвимость со статусом по релизам (needed, released, not-affected) и с конкретной ошибкой в Launchpad, в которой интегрировано исправление.
Регион
Международно
Обновления
1 ч
Лицензия
CC BY-SA 3.0
Бюллетени безопасности для LTS- и промежуточных релизов Ubuntu: пакеты main, universe и (через Ubuntu Pro) ESM-расширенные.
https://ubuntu.com/security/notices →Связанные уязвимости