BDU:2015-00406

Опубликовано: 31 мая 2014

Источник: fstec

CVSS2: 4.3

EPSS Низкий

Описание

Уязвимость существует в java/org/apache/catalina/servlets/DefaultServlet.java в стандартном сервлете Apache Tomcat из-за некорректного ограничения таблиц стилей XSLT и позволяет злоумышленникам, действующим удаленно, обойти ограничения безопасности и читать произвольные файлы, используя специально сформированное веб-приложение, которое обеспечивает объявление внешних сущностей XML и содержит ссылку на сущность. Данная уязвимость связана с проблемой внешних сущностей XML (XXE).

Вендор

Apache Software Foundation

Наименование ПО

Tomcat

Версия ПО

от 6.0.0 до 6.0.40 (Tomcat)

от 7.0.0 до 7.0.53 (Tomcat)

от 8.0.0 до 8.0.4 (Tomcat)

Тип ПО

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Возможные меры по устранению уязвимости

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:

http://tomcat.apache.org

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2014-0096
CVE

EPSS

Процентиль: 90%

0.05795

Низкий

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2014-0096

ubuntu

больше 11 лет назад

java/org/apache/catalina/servlets/DefaultServlet.java in the default servlet in Apache Tomcat before 6.0.40, 7.x before 7.0.53, and 8.x before 8.0.4 does not properly restrict XSLT stylesheets, which allows remote attackers to bypass security-manager restrictions and read arbitrary files via a crafted web application that provides an XML external entity declaration in conjunction with an entity reference, related to an XML External Entity (XXE) issue.