BDU:2019-00094

Опубликовано: 16 мая 2018

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Средний

Описание

Уязвимость компонента CORS контейнера сервлетов Apache Tomcat связана с недостаточным контролем доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемым данным с использованием протокола HTTP

Вендор

Oracle Corp.

АО «Концерн ВНИИНС»

Наименование ПО

Apache Tomcat

MySQL Enterprise Monitor

ОС ОН «Стрелец»

Версия ПО

9.0.8 (Apache Tomcat)

9.0.5 (Apache Tomcat)

9.0.4 (Apache Tomcat)

9.0.1 (Apache Tomcat)

8.5.31 (Apache Tomcat)

8.5.28 (Apache Tomcat)

8.5.27 (Apache Tomcat)

8.5.23 (Apache Tomcat)

8.5.16 (Apache Tomcat)

8.5.15 (Apache Tomcat)

8.5.14 (Apache Tomcat)

8.5.13 (Apache Tomcat)

8.5.12 (Apache Tomcat)

8.5.11 (Apache Tomcat)

8.5.9 (Apache Tomcat)

8.5.8 (Apache Tomcat)

8.5.7 (Apache Tomcat)

8.5.6 (Apache Tomcat)

8.5.5 (Apache Tomcat)

8.5.4 (Apache Tomcat)

8.5.1 (Apache Tomcat)

8.0.52 (Apache Tomcat)

8.0.50 (Apache Tomcat)

8.0.49 (Apache Tomcat)

8.0.47 (Apache Tomcat)

8.0.45 (Apache Tomcat)

8.0.44 (Apache Tomcat)

8.0.43 (Apache Tomcat)

8.0.42 (Apache Tomcat)

8.0.41 (Apache Tomcat)

8.0.40 (Apache Tomcat)

8.0.39 (Apache Tomcat)

8.0.38 (Apache Tomcat)

8.0.37 (Apache Tomcat)

8.0.36 (Apache Tomcat)

8.0.35 (Apache Tomcat)

8.0.34 (Apache Tomcat)

8.0.33 (Apache Tomcat)

8.0.30 (Apache Tomcat)

8.0.27 (Apache Tomcat)

8.0.19 (Apache Tomcat)

8.0.17 (Apache Tomcat)

8.0.15 (Apache Tomcat)

8.0.5 (Apache Tomcat)

8.0.3 (Apache Tomcat)

8.0.1 (Apache Tomcat)

7.0.88 (Apache Tomcat)

7.0.85 (Apache Tomcat)

7.0.84 (Apache Tomcat)

7.0.82 (Apache Tomcat)

7.0.81 (Apache Tomcat)

7.0.80 (Apache Tomcat)

7.0.79 (Apache Tomcat)

7.0.78 (Apache Tomcat)

7.0.77 (Apache Tomcat)

7.0.76 (Apache Tomcat)

7.0.75 (Apache Tomcat)

7.0.74 (Apache Tomcat)

7.0.73 (Apache Tomcat)

7.0.72 (Apache Tomcat)

7.0.70 (Apache Tomcat)

7.0.69 (Apache Tomcat)

7.0.67 (Apache Tomcat)

7.0.65 (Apache Tomcat)

7.0.60 (Apache Tomcat)

7.0.59 (Apache Tomcat)

7.0.57 (Apache Tomcat)

7.0.54 (Apache Tomcat)

7.0.53 (Apache Tomcat)

7.0.50 (Apache Tomcat)

9.0.0.M9 (Apache Tomcat)

9.0.0.M7 (Apache Tomcat)

9.0.0.M5 (Apache Tomcat)

9.0.0.M4 (Apache Tomcat)

9.0.0.M3 (Apache Tomcat)

9.0.0.M22 (Apache Tomcat)

9.0.0.M21 (Apache Tomcat)

9.0.0.M20 (Apache Tomcat)

9.0.0.M2 (Apache Tomcat)

9.0.0.M19 (Apache Tomcat)

9.0.0.M18 (Apache Tomcat)

9.0.0.M17 (Apache Tomcat)

9.0.0.M15 (Apache Tomcat)

9.0.0.M13 (Apache Tomcat)

9.0.0.M12 (Apache Tomcat)

9.0.0.M11 (Apache Tomcat)

9.0.0.M10 (Apache Tomcat)

9.0.0.M1 (Apache Tomcat)

8.5.3 (Apache Tomcat)

8.5.2 (Apache Tomcat)

8.5.0 (Apache Tomcat)

8.0.32 (Apache Tomcat)

8.0.0.RC1 (Apache Tomcat)

7.0.68 (Apache Tomcat)

7.0.55 (Apache Tomcat)

7.0.49 (Apache Tomcat)

7.0.48 (Apache Tomcat)

7.0.47 (Apache Tomcat)

7.0.46 (Apache Tomcat)

7.0.45 (Apache Tomcat)

7.0.44 (Apache Tomcat)

7.0.43 (Apache Tomcat)

7.0.42 (Apache Tomcat)

7.0.41 (Apache Tomcat)

до 3.4.9.4237 включительно (MySQL Enterprise Monitor)

до 4.0.6.5281 включительно (MySQL Enterprise Monitor)

до 8.0.2.8191 включительно (MySQL Enterprise Monitor)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Сетевое программное средство

Операционная система

Операционные системы и аппаратные платформы

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Обновление программного обеспечения до более поздней версии, использование рекомендаций:

https://www.oracle.com/technetwork/security-advisory/cpuoct2018-4428296.html

Для ОС ОН «Стрелец»:

Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-8014
CVE

EPSS

Процентиль: 98%

0.63691

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2018-8014

CVSS3: 9.8

ubuntu

около 7 лет назад

The defaults settings for the CORS filter provided in Apache Tomcat 9.0.0.M1 to 9.0.8, 8.5.0 to 8.5.31, 8.0.0.RC1 to 8.0.52, 7.0.41 to 7.0.88 are insecure and enable 'supportsCredentials' for all origins. It is expected that users of the CORS filter will have configured it appropriately for their environment rather than using it in the default configuration. Therefore, it is expected that most users will not be impacted by this issue.

CVE-2018-8014

CVSS3: 5.7

redhat

около 7 лет назад

CVE-2018-8014

CVSS3: 9.8

nvd

около 7 лет назад

CVE-2018-8014

CVSS3: 9.8

debian

около 7 лет назад

The defaults settings for the CORS filter provided in Apache Tomcat 9. ...

GHSA-r4x2-3cq5-hqvp

CVSS3: 9.8

github

больше 6 лет назад

The defaults settings for the CORS filter provided in Apache Tomcat are insecure and enable 'supportsCredentials' for all origins

EPSS

Процентиль: 98%

0.63691

Средний

9.8 Critical

CVSS3

10 Critical

CVSS2