BDU:2019-04255

Опубликовано: 06 янв. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 5

EPSS Низкий

Описание

Уязвимость класса org.apache.thrift.transport.TSaslTransport языка описания интерфейсов Apache Thrift связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить несанкционированный доступ к защищаемой информации путем обхода SASL-согласования

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Apache Software Foundation

F5 Networks, Inc.

АО «НТЦ ИТ РОСА»

Наименование ПО

Red Hat JBoss Fuse

Debian GNU/Linux

Thrift

Traffix SDC

РОСА ХРОМ

Версия ПО

7 (Red Hat JBoss Fuse)

8 (Debian GNU/Linux)

от 0.5.0 до 0.11.0 включительно (Thrift)

от 5.0.0 до 5.1.0 включительно (Traffix SDC)

12.4 (РОСА ХРОМ)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Сетевое средство

Операционные системы и аппаратные платформы

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Арасhe Thrift:

https://lists.apache.org/thread.html/da5234b5e78f1c99190407f791dfe1bf6c58de8d30d15974a9669be3@%3Cuser.thrift.apache.org%3E

https://lists.apache.org/thread.html/187684ac8b94d55256253f5220cb55e8bd568afdf9a8a86e9bbb66c9@%3Cdevnull.infra.apache.org%3E

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2019/02/msg00008.html

Для Тraffix SDC:

https://support.f5.com/csp/article/K36361684

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/CVE-2018-1320

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2270

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2018-1320
CVE

EPSS

Процентиль: 30%

0.0011

Низкий

7.5 High

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2018-1320

CVSS3: 7.5

ubuntu

около 7 лет назад

Apache Thrift Java client library versions 0.5.0 through 0.11.0 can bypass SASL negotiation isComplete validation in the org.apache.thrift.transport.TSaslTransport class. An assert used to determine if the SASL handshake had successfully completed could be disabled in production settings making the validation incomplete.

CVE-2018-1320

CVSS3: 6.5

redhat

почти 8 лет назад

CVE-2018-1320

CVSS3: 7.5

nvd

около 7 лет назад

CVE-2018-1320

CVSS3: 7.5

debian

около 7 лет назад

Apache Thrift Java client library versions 0.5.0 through 0.11.0 can by ...

GHSA-wjxj-f8rg-99wx

CVSS3: 7.5

github

около 7 лет назад

Improper Input Validation in Apache Thrift

EPSS

Процентиль: 30%

0.0011

Низкий

7.5 High

CVSS3

5 Medium

CVSS2