Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2019-01776

Опубликовано: 14 июн. 2018
Источник: fstec
CVSS3: 5.9
CVSS2: 5.4
EPSS Низкий

Описание

Уязвимость программной платформы Spring Framework связана с ошибками в настройках безопасности. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на конфиденциальность защищаемой информации

Вендор

Oracle Corp.
Pivotal Software Inc.
АО «Концерн ВНИИНС»

Наименование ПО

Enterprise Manager Ops Center
WebLogic Server
Enterprise Manager Base Platform
Spring Framework
Oracle Communications Unified Inventory Management
Oracle FLEXCUBE Private Banking
Oracle Utilities Network Management System
Oracle Retail Clearance Optimization Engine
Oracle Retail Markdown Optimization
ОС ОН «Стрелец»

Версия ПО

12.3.3 (Enterprise Manager Ops Center)
12.2.1.3.0 (WebLogic Server)
13.2.0.0.0 (Enterprise Manager Base Platform)
13.3.0.0.0 (Enterprise Manager Base Platform)
12.1.0.5.0 (Enterprise Manager Base Platform)
от 5.0.0 до 5.0.7 (Spring Framework)
от 4.3.0 до 4.3.18 (Spring Framework)
7.3.2 (Oracle Communications Unified Inventory Management)
7.3.4 (Oracle Communications Unified Inventory Management)
7.3.5 (Oracle Communications Unified Inventory Management)
7.4.0 (Oracle Communications Unified Inventory Management)
2.0.0.0 (Oracle FLEXCUBE Private Banking)
2.2.0.1 (Oracle FLEXCUBE Private Banking)
12.0.1.0 (Oracle FLEXCUBE Private Banking)
12.0.3.0 (Oracle FLEXCUBE Private Banking)
12.1.0.0 (Oracle FLEXCUBE Private Banking)
1.12.0.3 (Oracle Utilities Network Management System)
14.0.5 (Oracle Retail Clearance Optimization Engine)
13.4.4 (Oracle Retail Markdown Optimization)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Сетевое программное средство
Прикладное ПО информационных систем
Операционная система

Операционные системы и аппаратные платформы

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5,4)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,9)

Возможные меры по устранению уязвимости

Для программной платформы Spring Framework использование рекомендаций:
https://pivotal.io/security/cve-2018-11040
Для продуктов Oracle использование рекомендаций:
https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html
https://www.oracle.com/security-alerts/cpujan2020.html
Для ОС ОН «Стрелец»:
Обновление программного обеспечения libspring-java до версии 4.3.5-1+deb9u1

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%
0.08246
Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Связанные уязвимости

CVSS3: 7.5
ubuntu
почти 7 лет назад

Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable cross-domain requests via JSONP (JSON with Padding) through AbstractJsonpResponseBodyAdvice for REST controllers and MappingJackson2JsonView for browser requests. Both are not enabled by default in Spring Framework nor Spring Boot, however, when MappingJackson2JsonView is configured in an application, JSONP support is automatically ready to use through the "jsonp" and "callback" JSONP parameters, enabling cross-domain requests.

CVSS3: 3.7
redhat
около 7 лет назад

Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable cross-domain requests via JSONP (JSON with Padding) through AbstractJsonpResponseBodyAdvice for REST controllers and MappingJackson2JsonView for browser requests. Both are not enabled by default in Spring Framework nor Spring Boot, however, when MappingJackson2JsonView is configured in an application, JSONP support is automatically ready to use through the "jsonp" and "callback" JSONP parameters, enabling cross-domain requests.

CVSS3: 7.5
nvd
почти 7 лет назад

Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3.18 and older unsupported versions, allows web applications to enable cross-domain requests via JSONP (JSON with Padding) through AbstractJsonpResponseBodyAdvice for REST controllers and MappingJackson2JsonView for browser requests. Both are not enabled by default in Spring Framework nor Spring Boot, however, when MappingJackson2JsonView is configured in an application, JSONP support is automatically ready to use through the "jsonp" and "callback" JSONP parameters, enabling cross-domain requests.

CVSS3: 7.5
debian
почти 7 лет назад

Spring Framework, versions 5.0.x prior to 5.0.7 and 4.3.x prior to 4.3 ...

CVSS3: 5.9
github
больше 6 лет назад

Moderate severity vulnerability that affects org.springframework:spring-core

EPSS

Процентиль: 92%
0.08246
Низкий

5.9 Medium

CVSS3

5.4 Medium

CVSS2

Уязвимость BDU:2019-01776