BDU:2020-03621

Опубликовано: 05 мар. 2020

Источник: fstec

CVSS3: 7.4

CVSS2: 8.8

EPSS Низкий

Описание

Уязвимость реализации протокола TLS программной платформы Node.js связана с недостатками подтверждения подлинности сертификата. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, реализовать атаку типа «человек посередине»

Вендор

Canonical Ltd.

Red Hat Inc.

Oracle Corp.

Hipp, Wyrick & Company, Inc.

Hitachi, Ltd.

Наименование ПО

Ubuntu

Red Hat Enterprise Linux

Communications Network Charging and Control

SQLite

Sun ZFS Storage Appliance Kit

Financial Services Applications

Hitachi Energy Gateway Station (GWS)

FACTS Control Platform (FCP)

Версия ПО

18.04 LTS (Ubuntu)

8.0 (Red Hat Enterprise Linux)

19.10 (Ubuntu)

6.0.1 (Communications Network Charging and Control)

от 12.0.0 до 12.0.3 включительно (Communications Network Charging and Control)

3.31.1 (SQLite)

8.8 (Sun ZFS Storage Appliance Kit)

14.3.0 (Financial Services Applications)

14.4.0 (Financial Services Applications)

до 3.2.0.0 (Hitachi Energy Gateway Station (GWS))

до 3.12.0 включительно (FACTS Control Platform (FCP))

до 2.3.0 включительно (FACTS Control Platform (FCP))

до 1.3.0 включительно (FACTS Control Platform (FCP))

Тип ПО

Операционная система

Прикладное ПО информационных систем

СУБД

Сетевое программное средство

Средство АСУ ТП

Операционные системы и аппаратные платформы

Canonical Ltd. Ubuntu 18.04 LTS

Red Hat Inc. Red Hat Enterprise Linux 8.0

Canonical Ltd. Ubuntu 19.10

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,4)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Node.js:

https://nodejs.org/en/blog/vulnerability/june-2020-security-releases/

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpujul2020.html

https://www.oracle.com/security-alerts/cpujan2021.html

Для программных продуктов Hitachi Energy:

https://www.cisa.gov/uscert/ics/advisories/icsa-22-242-02

https://www.cisa.gov/uscert/ics/advisories/icsa-22-242-01

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2020-8172

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 76%

0.01016

Низкий

7.4 High

CVSS3

8.8 High

CVSS2

Связанные уязвимости

CVE-2020-8172

CVSS3: 7.4

ubuntu

около 5 лет назад

TLS session reuse can lead to host certificate verification bypass in node version < 12.18.0 and < 14.4.0.

CVE-2020-8172

CVSS3: 7.4

redhat

около 5 лет назад

TLS session reuse can lead to host certificate verification bypass in node version < 12.18.0 and < 14.4.0.

CVE-2020-8172

CVSS3: 7.4

nvd

около 5 лет назад

TLS session reuse can lead to host certificate verification bypass in node version < 12.18.0 and < 14.4.0.

CVE-2020-8172

CVSS3: 7.4

debian

около 5 лет назад

TLS session reuse can lead to host certificate verification bypass in ...

GHSA-98vx-jqrx-7mq2

CVSS3: 7.4

github

около 3 лет назад

TLS session reuse can lead to host certificate verification bypass in node version < 12.18.0 and < 14.4.0.

EPSS

Процентиль: 76%

0.01016

Низкий

7.4 High

CVSS3

8.8 High

CVSS2