Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2021-02413

Опубликовано: 27 авг. 2020
Источник: fstec
CVSS3: 3.3
CVSS2: 1.7
EPSS Низкий

Описание

Уязвимость реализации функции Files.createTempDir() набора Java-библиотек Google Guava связана с неправильным назначением разрешений для временного каталога файлов. Эксплуатация уязвимости может позволить нарушителю получить несанкционированный доступ к защищаемой информации

Вендор

Red Hat Inc.
Oracle Corp.
Google Inc
Apache Software Foundation
Elastic NV

Наименование ПО

OpenShift Container Platform
Red Hat Satellite
Jboss Fuse
OpenShift Application Runtimes
Red Hat Single Sign-On
Red Hat Descision Manager
JBoss Enterprise Application Platform
Red Hat AMQ Broker
JBoss A-MQ
CodeReady Studio
NoSQL Database
Guava
Red Hat build of Quarkus
Red Hat Integration Camel K
Red Hat Integration Service Registry
Cassandra
Maven
Logstash
Android Studio

Версия ПО

3.11 (OpenShift Container Platform)
6.0 (Red Hat Satellite)
7 (Jboss Fuse)
- (OpenShift Application Runtimes)
7 (Red Hat Single Sign-On)
7 (Red Hat Descision Manager)
7.1.0 (JBoss Enterprise Application Platform)
4 (OpenShift Container Platform)
7.3 for RHEL 6 (JBoss Enterprise Application Platform)
7.3 for RHEL 7 (JBoss Enterprise Application Platform)
7.3 for RHEL 8 (JBoss Enterprise Application Platform)
7 (Red Hat AMQ Broker)
7 (JBoss A-MQ)
12 (CodeReady Studio)
до 20.3 (NoSQL Database)
до 30.0 (Guava)
- (Red Hat build of Quarkus)
- (Red Hat Integration Camel K)
- (Red Hat Integration Service Registry)
4.1.3 (Cassandra)
3.8.8 (Maven)
8.12.1 (Logstash)
2022.2.1 (Android Studio)

Тип ПО

Прикладное ПО информационных систем
Сетевое программное средство
СУБД

Операционные системы и аппаратные платформы

-

Уровень опасности уязвимости

Низкий уровень опасности (базовая оценка CVSS 2.0 составляет 1,7)
Низкий уровень опасности (базовая оценка CVSS 3.0 составляет 3,3)

Возможные меры по устранению уязвимости

Компенсирующие меры:
- использование антивирусных средств защиты;
- мониторинг действий пользователей;
- запуск приложений от имени пользователя с минимальными возможными привилегиями в операционной системе;
- применение систем обнаружения и предотвращения вторжений.
Использование рекомендаций:
Для Google Guava:
https://github.com/google/guava/commit/fec0dbc4634006a6162cfd4d0d09c962073ddf40
https://github.com/google/guava/issues/4011
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuapr2021.html
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2020-8908
Для Logstash:
Организационные меры:
1. Ограничить использование программного средства
2. Использование аналогичного программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 22%
0.00072
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2

Связанные уязвимости

CVSS3: 3.3
ubuntu
около 5 лет назад

A temp directory creation vulnerability exists in all versions of Guava, allowing an attacker with access to the machine to potentially access data in a temporary directory created by the Guava API com.google.common.io.Files.createTempDir(). By default, on unix-like systems, the created directory is world-readable (readable by an attacker with access to the system). The method in question has been marked @Deprecated in versions 30.0 and later and should not be used. For Android developers, we recommend choosing a temporary directory API provided by Android, such as context.getCacheDir(). For other Java developers, we recommend migrating to the Java 7 API java.nio.file.Files.createTempDirectory() which explicitly configures permissions of 700, or configuring the Java runtime's java.io.tmpdir system property to point to a location whose permissions are appropriately configured.

CVSS3: 3.3
redhat
больше 5 лет назад

A temp directory creation vulnerability exists in all versions of Guava, allowing an attacker with access to the machine to potentially access data in a temporary directory created by the Guava API com.google.common.io.Files.createTempDir(). By default, on unix-like systems, the created directory is world-readable (readable by an attacker with access to the system). The method in question has been marked @Deprecated in versions 30.0 and later and should not be used. For Android developers, we recommend choosing a temporary directory API provided by Android, such as context.getCacheDir(). For other Java developers, we recommend migrating to the Java 7 API java.nio.file.Files.createTempDirectory() which explicitly configures permissions of 700, or configuring the Java runtime's java.io.tmpdir system property to point to a location whose permissions are appropriately configured.

CVSS3: 3.3
nvd
около 5 лет назад

A temp directory creation vulnerability exists in all versions of Guava, allowing an attacker with access to the machine to potentially access data in a temporary directory created by the Guava API com.google.common.io.Files.createTempDir(). By default, on unix-like systems, the created directory is world-readable (readable by an attacker with access to the system). The method in question has been marked @Deprecated in versions 30.0 and later and should not be used. For Android developers, we recommend choosing a temporary directory API provided by Android, such as context.getCacheDir(). For other Java developers, we recommend migrating to the Java 7 API java.nio.file.Files.createTempDirectory() which explicitly configures permissions of 700, or configuring the Java runtime's java.io.tmpdir system property to point to a location whose permissions are appropriately configured.

CVSS3: 3.3
msrc
почти 3 года назад

Описание отсутствует

CVSS3: 3.3
debian
около 5 лет назад

A temp directory creation vulnerability exists in all versions of Guav ...

EPSS

Процентиль: 22%
0.00072
Низкий

3.3 Low

CVSS3

1.7 Low

CVSS2