Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-00197

Опубликовано: 05 сент. 2019
Источник: fstec
CVSS3: 5.5
CVSS2: 1.9
EPSS Низкий

Описание

Уязвимость DOM-анализатора DocumentBuilders платформы для обеспечения стандартов безопасности для XML Apache Santuario XML Security for Java связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Вендор

Apache Software Foundation

Наименование ПО

Santuario XML Security

Версия ПО

от 2.0.3 до 2.0.10 включительно (Santuario XML Security)
от 2.1.0 до 2.1.4 (Santuario XML Security)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 1,9)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
http://santuario.apache.org/secadv.data/CVE-2019-12400.asc?version=1&modificationDate=1566573083000&api=v2
https://lists.apache.org/thread.html/8e814b925bf580bc527d96ff51e72ffe5bdeaa4b8bf5b89498cab24c@%3Cdev.santuario.apache.org%3E
https://lists.apache.org/thread.html/edaa7edb9c58e5f5bd0c950f2

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 69%
0.00587
Низкий

5.5 Medium

CVSS3

1.9 Low

CVSS2

Связанные уязвимости

CVSS3: 5.5
ubuntu
больше 6 лет назад

In version 2.0.3 Apache Santuario XML Security for Java, a caching mechanism was introduced to speed up creating new XML documents using a static pool of DocumentBuilders. However, if some untrusted code can register a malicious implementation with the thread context class loader first, then this implementation might be cached and re-used by Apache Santuario - XML Security for Java, leading to potential security flaws when validating signed documents, etc. The vulnerability affects Apache Santuario - XML Security for Java 2.0.x releases from 2.0.3 and all 2.1.x releases before 2.1.4.

CVSS3: 5.9
redhat
больше 6 лет назад

In version 2.0.3 Apache Santuario XML Security for Java, a caching mechanism was introduced to speed up creating new XML documents using a static pool of DocumentBuilders. However, if some untrusted code can register a malicious implementation with the thread context class loader first, then this implementation might be cached and re-used by Apache Santuario - XML Security for Java, leading to potential security flaws when validating signed documents, etc. The vulnerability affects Apache Santuario - XML Security for Java 2.0.x releases from 2.0.3 and all 2.1.x releases before 2.1.4.

CVSS3: 5.5
nvd
больше 6 лет назад

In version 2.0.3 Apache Santuario XML Security for Java, a caching mechanism was introduced to speed up creating new XML documents using a static pool of DocumentBuilders. However, if some untrusted code can register a malicious implementation with the thread context class loader first, then this implementation might be cached and re-used by Apache Santuario - XML Security for Java, leading to potential security flaws when validating signed documents, etc. The vulnerability affects Apache Santuario - XML Security for Java 2.0.x releases from 2.0.3 and all 2.1.x releases before 2.1.4.

CVSS3: 5.5
debian
больше 6 лет назад

In version 2.0.3 Apache Santuario XML Security for Java, a caching mec ...

CVSS3: 5.5
github
больше 6 лет назад

Improper input validation in Apache Santuario XML Security for Java

EPSS

Процентиль: 69%
0.00587
Низкий

5.5 Medium

CVSS3

1.9 Low

CVSS2