BDU:2015-04126

Опубликовано: 15 апр. 2014

Источник: fstec

CVSS3: 9.8

CVSS2: 7.5

EPSS Низкий

Описание

Множественные уязвимости пакета libxalan2-java операционной системы Debian GNU/Linux, эксплуатация которых может привести к нарушению конфиденциальности, целостности и доступности защищаемой информации. Эксплуатация уязвимостей может быть осуществлена удаленно

Вендор

Сообщество свободного программного обеспечения

ООО «РусБИТех-Астра»

Apache Software Foundation

Наименование ПО

Debian GNU/Linux

Astra Linux Common Edition

Xalan-Java

Версия ПО

до 6 (Debian GNU/Linux)

9 (Debian GNU/Linux)

2.12 «Орёл» (Astra Linux Common Edition)

10 (Debian GNU/Linux)

до 2.7.2 (Xalan-Java)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux до 6

Сообщество свободного программного обеспечения Debian GNU/Linux 9

ООО «РусБИТех-Астра» Astra Linux Common Edition 2.12 «Орёл»

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Для Xalan-Java:

Обновление программного обеспечения до 2.7.2-4 или более поздней версии

Для Debian:

https://security-tracker.debian.org/tracker/CVE-2014-0107

Для Astra Linux:

Обновление программного обеспечения (пакета libxalan2-java) до 2.7.2-2 или более поздней версии

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 91%

0.06467

Низкий

9.8 Critical

CVSS3

7.5 High

CVSS2

Связанные уязвимости

CVE-2014-0107

ubuntu

больше 11 лет назад

The TransformerFactory in Apache Xalan-Java before 2.7.2 does not properly restrict access to certain properties when FEATURE_SECURE_PROCESSING is enabled, which allows remote attackers to bypass expected restrictions and load arbitrary classes or access external resources via a crafted (1) xalan:content-header, (2) xalan:entities, (3) xslt:content-header, or (4) xslt:entities property, or a Java property that is bound to the XSLT 1.0 system-property function.