BDU:2021-02625

Опубликовано: 12 нояб. 2019

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость синтаксического анализатора SnakeYAML связана с ошибками при обработке XML-сущностей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Oracle Corp.

Fedora Project

Сообщество свободного программного обеспечения

Red Hat Inc.

Наименование ПО

PeopleSoft Enterprise PeopleTools

Fedora

SnakeYAML

Quarkus

Версия ПО

8.56 (PeopleSoft Enterprise PeopleTools)

8.57 (PeopleSoft Enterprise PeopleTools)

31 (Fedora)

32 (Fedora)

8.58 (PeopleSoft Enterprise PeopleTools)

до 1.26 (SnakeYAML)

до 1.3.4 включительно (Quarkus)

Тип ПО

Прикладное ПО информационных систем

Операционная система

Операционные системы и аппаратные платформы

Fedora Project Fedora 31

Fedora Project Fedora 32

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для SnakeYAML:

https://bitbucket.org/asomov/snakeyaml/issues/377/allow-configuration-for-preventing-billion

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpuapr2021.html

Для Fedora Project:

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/CKN7VGIKTYBCAKYBRG55QHXAY5UDZ7HA/

https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/PTVJC54XGX26UJVVYCXZ7D25X3R5T2G6/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-18640
CVE

EPSS

Процентиль: 84%

0.02166

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2017-18640

CVSS3: 7.5

ubuntu

около 6 лет назад

The Alias feature in SnakeYAML before 1.26 allows entity expansion during a load operation, a related issue to CVE-2003-1564.

CVE-2017-18640

CVSS3: 7.6

redhat

около 6 лет назад

The Alias feature in SnakeYAML before 1.26 allows entity expansion during a load operation, a related issue to CVE-2003-1564.

CVE-2017-18640

CVSS3: 7.5

nvd

около 6 лет назад

The Alias feature in SnakeYAML before 1.26 allows entity expansion during a load operation, a related issue to CVE-2003-1564.

CVE-2017-18640

CVSS3: 7.5

msrc

2 месяца назад

The Alias feature in SnakeYAML before 1.26 allows entity expansion during a load operation, a related issue to CVE-2003-1564.

CVE-2017-18640

CVSS3: 7.5

debian

около 6 лет назад

The Alias feature in SnakeYAML before 1.26 allows entity expansion dur ...

EPSS

Процентиль: 84%

0.02166

Низкий

7.5 High

CVSS3

7.8 High

CVSS2