BDU:2017-02043

Опубликовано: 07 авг. 2017

Источник: fstec

CVSS2: 9

EPSS Критический

Описание

Уязвимость компонента XML-RPC веб-сервера Supervisor и операционных систем Fedora, Debian GNU/Linux связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды при помощи специально сформированного XML-RPC запроса, связанного с вложенными запросами пространства имен супервизора

Вендор

Сообщество свободного программного обеспечения

Fedora Project

Apache Software Foundation

Наименование ПО

Debian GNU/Linux

Fedora

Subversion

Версия ПО

8 (Debian GNU/Linux)

24 (Fedora)

25 (Fedora)

9 (Debian GNU/Linux)

до 3.0 включительно (Subversion)

3.1.0 (Subversion)

3.1.1 (Subversion)

3.1.2 (Subversion)

3.1.3 (Subversion)

3.2.0 (Subversion)

3.2.1 (Subversion)

3.2.2 (Subversion)

3.2.3 (Subversion)

3.3.0 (Subversion)

3.3.1 (Subversion)

3.3.2 (Subversion)

26 (Fedora)

9 (Debian GNU/Linux)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9)

Возможные меры по устранению уязвимости

Использование рекомендаций:

http://www.debian.org/security/2017/dsa-3942

https://github.com/Supervisor/supervisor/issues/964

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/4GMSCGMM477N64Z3BM34RWYBGSLK466B/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/DTPDZV4ZRICDYAYZVUHSYZAYDLRMG2IM/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/JXGWOJNSWWK2TTWQJZJUP66FLFIWDMBQ/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%

0.93788

Критический

9 Critical

CVSS2

Связанные уязвимости

CVE-2017-11610

CVSS3: 8.8

ubuntu

больше 8 лет назад

The XML-RPC server in supervisor before 3.0.1, 3.1.x before 3.1.4, 3.2.x before 3.2.4, and 3.3.x before 3.3.3 allows remote authenticated users to execute arbitrary commands via a crafted XML-RPC request, related to nested supervisord namespace lookups.

CVE-2017-11610

CVSS3: 7

redhat

больше 8 лет назад

CVE-2017-11610

CVSS3: 8.8

nvd

больше 8 лет назад

CVE-2017-11610

CVSS3: 8.8

debian

больше 8 лет назад

The XML-RPC server in supervisor before 3.0.1, 3.1.x before 3.1.4, 3.2 ...

GHSA-x7c8-4x3h-874w

CVSS3: 8.8

github

больше 3 лет назад

Incorrect Default Permissions in Supervisor

EPSS

Процентиль: 100%

0.93788

Критический

9 Critical

CVSS2