Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2020-01021

Опубликовано: 28 мая 2019
Источник: fstec
CVSS3: 6.1
CVSS2: 4.3
EPSS Низкий

Описание

Уязвимость команды printenv сервера приложений Apache Tomcat связана с неприятием мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить межсайтовую сценарную атаку

Вендор

Canonical Ltd.
Fedora Project
Сообщество свободного программного обеспечения
Apache Software Foundation
Oracle Corp.
АО «Концерн ВНИИНС»

Наименование ПО

Ubuntu
Fedora
Debian GNU/Linux
Apache Tomcat
Workload Manager
ОС ОН «Стрелец»

Версия ПО

16.04 LTS (Ubuntu)
18.04 LTS (Ubuntu)
29 (Fedora)
30 (Fedora)
8 (Debian GNU/Linux)
7 (Debian GNU/Linux)
от 9.0.0.M1 до 9.0.17 включительно (Apache Tomcat)
от 8.5.0 до 8.5.39 включительно (Apache Tomcat)
от 7.0.0 до 7.0.93 включительно (Apache Tomcat)
12.2.0.1 (Workload Manager)
18c (Workload Manager)
19c (Workload Manager)
до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Операционная система
Сетевое программное средство

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 16.04 LTS
Canonical Ltd. Ubuntu 18.04 LTS
Fedora Project Fedora 29
Fedora Project Fedora 30
Сообщество свободного программного обеспечения Debian GNU/Linux 8
Сообщество свободного программного обеспечения Debian GNU/Linux 7
АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)
Средний уровень опасности (базовая оценка CVSS 3.0 составляет 6,1)

Возможные меры по устранению уязвимости

Использование рекомендаций производителя:
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/public-vuln-to-advisory-mapping.html
Для Apache Software Foundation:
https://lists.apache.org/thread.html/6e6e9eacf7b28fd63d249711e9d3ccd4e0a83f556e324aee37be5a8c@%3Cannounce.tomcat.apache.org%3E
Для Debian:
https://lists.debian.org/debian-lts-announce/2019/05/msg00044.html
Для программных продуктов Fedora Project:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/NPHQEL5AQ6LZSZD2Y6TYZ4RC3WI7NXJ3/
Для программных продуктов Canonical Ltd.:
https://people.canonical.com/~ubuntu-security/cve/2019/CVE-2019-0221.html
Для ОС ОН «Стрелец»:
Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 92%
0.09193
Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVSS3: 6.1
ubuntu
около 6 лет назад

The SSI printenv command in Apache Tomcat 9.0.0.M1 to 9.0.0.17, 8.5.0 to 8.5.39 and 7.0.0 to 7.0.93 echoes user provided data without escaping and is, therefore, vulnerable to XSS. SSI is disabled by default. The printenv command is intended for debugging and is unlikely to be present in a production website.

CVSS3: 5
redhat
около 6 лет назад

The SSI printenv command in Apache Tomcat 9.0.0.M1 to 9.0.0.17, 8.5.0 to 8.5.39 and 7.0.0 to 7.0.93 echoes user provided data without escaping and is, therefore, vulnerable to XSS. SSI is disabled by default. The printenv command is intended for debugging and is unlikely to be present in a production website.

CVSS3: 6.1
nvd
около 6 лет назад

The SSI printenv command in Apache Tomcat 9.0.0.M1 to 9.0.0.17, 8.5.0 to 8.5.39 and 7.0.0 to 7.0.93 echoes user provided data without escaping and is, therefore, vulnerable to XSS. SSI is disabled by default. The printenv command is intended for debugging and is unlikely to be present in a production website.

CVSS3: 6.1
debian
около 6 лет назад

The SSI printenv command in Apache Tomcat 9.0.0.M1 to 9.0.0.17, 8.5.0 ...

CVSS3: 6.1
github
около 6 лет назад

Cross-site scripting in Apache Tomcat

EPSS

Процентиль: 92%
0.09193
Низкий

6.1 Medium

CVSS3

4.3 Medium

CVSS2