BDU:2019-02936

Опубликовано: 21 июн. 2019

Источник: fstec

CVSS3: 9.8

CVSS2: 10

EPSS Критический

Описание

Уязвимость Java-библиотеки для преобразования объектов в XML или JSON формат XStream связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды путем отмены обработки объекта XML или другого поддерживаемого формата

Вендор

Oracle Corp.

Xstream Project

Наименование ПО

WebLogic Server

Fusion Middleware MapViewer

Primavera Unifier

Oracle Endeca Information Discovery Integrator

WebCenter Portal

Oracle Retail Order Broker

XStream

Oracle Data Integrator

Utilities Framework

Retail Xstore Point of Service

Oracle Communications Unified Inventory Management

Oracle Financial Services Market Risk Measurement and Management

Oracle Endeca Information Discovery Studio

Oracle Financial Services Asset Liability Management

Financial Services Profitability Management

Financial Services Funds Transfer Pricing

Communications MetaSolv Solution

Financial Services Analytical Applications Infrastructure

Oracle SD-WAN Edge

Communications Diameter Signaling Router

Communications BRM - Elastic Charging Engine

Banking Platform

Insurance Allocation Manager for Enterprise Profitability

Oracle Retail Financial Integration

Retail Integration Bus

Oracle Retail Service Backbone

Oracle Real-Time Decision Server

MySQL Enterprise Monitor

Oracle Business Activity Monitoring

Версия ПО

10.3.6.0 (WebLogic Server)

12.1.3.0 (WebLogic Server)

12.2.1.3.0 (Fusion Middleware MapViewer)

16.2 (Primavera Unifier)

16.1 (Primavera Unifier)

3.2.0 (Oracle Endeca Information Discovery Integrator)

11.1.1.9.0 (WebCenter Portal)

12.2.1.3.0 (WebCenter Portal)

12.2.1.3.0 (WebLogic Server)

15.0 (Oracle Retail Order Broker)

1.4.10 (XStream)

12.2.1.3.0 (Oracle Data Integrator)

4.4.0.0.0 (Utilities Framework)

4.2.0.3.0 (Utilities Framework)

4.2.0.2.0 (Utilities Framework)

18.8 (Primavera Unifier)

17.0 (Retail Xstore Point of Service)

12.2.1.4.0 (WebLogic Server)

7.3 (Oracle Communications Unified Inventory Management)

7.4 (Oracle Communications Unified Inventory Management)

19.12 (Primavera Unifier)

от 17.7 до 17.12 включительно (Primavera Unifier)

8.0.6 (Oracle Financial Services Market Risk Measurement and Management)

3.2.0 (Oracle Endeca Information Discovery Studio)

12.2.1.4.0 (WebCenter Portal)

8.0.7 (Oracle Financial Services Asset Liability Management)

8.0.6 (Financial Services Profitability Management)

8.0.7 (Financial Services Profitability Management)

8.0.6 (Financial Services Funds Transfer Pricing)

8.0.7 (Financial Services Funds Transfer Pricing)

6.3.0 (Communications MetaSolv Solution)

от 8.0.6 до 8.1.0 включительно (Financial Services Analytical Applications Infrastructure)

9.0 (Oracle SD-WAN Edge)

от 8.0.0 до 8.2.2 включительно (Communications Diameter Signaling Router)

11.3.0.9.0 (Communications BRM - Elastic Charging Engine)

12.0.0.3.0 (Communications BRM - Elastic Charging Engine)

от 2.4.0 до 2.10.0 включительно (Banking Platform)

2.2.0.0.0 (Utilities Framework)

от 4.3.0.1.0 до 4.3.0.6.0 включительно (Utilities Framework)

8.1.0 (Oracle Financial Services Asset Liability Management)

8.1.0 (Financial Services Funds Transfer Pricing)

8.1.0 (Financial Services Profitability Management)

8.1.0 (Insurance Allocation Manager for Enterprise Profitability)

12.2.1.4.0 (Oracle Data Integrator)

20.12 (Primavera Unifier)

14.1.3 (Oracle Retail Financial Integration)

15.0.3 (Oracle Retail Financial Integration)

16.0.3 (Oracle Retail Financial Integration)

14.1.3 (Retail Integration Bus)

15.0.3 (Retail Integration Bus)

16.0.3 (Retail Integration Bus)

14.1.3 (Oracle Retail Service Backbone)

15.0.3 (Oracle Retail Service Backbone)

16.0.3 (Oracle Retail Service Backbone)

3.2.1.0 (Oracle Real-Time Decision Server)

11.1.1.9.0 (Oracle Data Integrator)

до 8.0.22 включительно (MySQL Enterprise Monitor)

11.1.1.9.0 (Oracle Business Activity Monitoring)

12.2.1.3.0 (Oracle Business Activity Monitoring)

6.3.1 (Communications MetaSolv Solution)

Тип ПО

Сетевое программное средство

Прикладное ПО информационных систем

ПО сетевого программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для XStream:

http://x-stream.github.io/changes.html#1.4.11

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuapr2020.html

https://www.oracle.com/security-alerts/cpuoct2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2019-10173
CVE

EPSS

Процентиль: 100%

0.92962

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2

Связанные уязвимости

CVE-2019-10173

CVSS3: 9.8

ubuntu

больше 6 лет назад

It was found that xstream API version 1.4.10 before 1.4.11 introduced a regression for a previous deserialization flaw. If the security framework has not been initialized, it may allow a remote attacker to run arbitrary shell commands when unmarshalling XML or any supported format. e.g. JSON. (regression of CVE-2013-7285)

CVE-2019-10173

CVSS3: 7.3

redhat

больше 7 лет назад

CVE-2019-10173

CVSS3: 9.8

nvd

больше 6 лет назад

CVE-2019-10173

CVSS3: 9.8

debian

больше 6 лет назад

It was found that xstream API version 1.4.10 before 1.4.11 introduced ...

GHSA-hf23-9pf7-388p

CVSS3: 9.8

github

больше 6 лет назад

Deserialization of Untrusted Data and Code Injection in xstream

EPSS

Процентиль: 100%

0.92962

Критический

9.8 Critical

CVSS3

10 Critical

CVSS2