BDU:2021-03686

Опубликовано: 12 июл. 2021

Источник: fstec

CVSS3: 4.8

CVSS2: 4

EPSS Низкий

Описание

Уязвимость реализации модуля JNDIRealm сервера приложений Apache Tomcat связана с недостатками механизма аутентификации. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Вендор

Red Hat Inc.

Apache Software Foundation

АО «Концерн ВНИИНС»

ООО «Ред Софт»

ООО «РусБИТех-Астра»

АО "НППКТ"

АО «НТЦ ИТ РОСА»

Наименование ПО

Red Hat JBoss Fuse

Jboss Web Server

OpenShift Application Runtimes

Apache Tomcat

ОС ОН «Стрелец»

РЕД ОС

Astra Linux Special Edition

ОСОН ОСнова Оnyx

РОСА ХРОМ

Версия ПО

7 (Red Hat JBoss Fuse)

5.0 (Jboss Web Server)

- (OpenShift Application Runtimes)

от 10.0.0-M1 до 10.0.5 включительно (Apache Tomcat)

от 9.0.0.M1 до 9.0.45 включительно (Apache Tomcat)

от 8.5.0 до 8.5.65 включительно (Apache Tomcat)

от 7.0.0 до 7.0.108 включительно (Apache Tomcat)

1.0 (ОС ОН «Стрелец»)

7.3 (РЕД ОС)

1.7 (Astra Linux Special Edition)

до 2.5 (ОСОН ОСнова Оnyx)

12.4 (РОСА ХРОМ)

до 16.01.2023 (ОС ОН «Стрелец»)

Тип ПО

Прикладное ПО информационных систем

Сетевое программное средство

Операционная система

Операционные системы и аппаратные платформы

АО «Концерн ВНИИНС» ОС ОН «Стрелец» 1.0

ООО «Ред Софт» РЕД ОС 7.3

ООО «РусБИТех-Астра» Astra Linux Special Edition 1.7

АО "НППКТ" ОСОН ОСнова Оnyx до 2.5

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «Концерн ВНИИНС» ОС ОН «Стрелец» до 16.01.2023

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,8)

Возможные меры по устранению уязвимости

В условиях отсутствия обновлений безопасности от производителя рекомендуется придерживаться "Рекомендаций по безопасной настройке операционных систем LINUX", изложенных в методическом документе ФСТЭК России, утверждённом 25 декабря 2022 года.

Использование рекомендаций:

Для Apache Tomcat:

https://lists.apache.org/thread.html/r59f9ef03929d32120f91f4ea7e6e79edd5688d75d0a9b65fd26d1fe8%40%3Cannounce.tomcat.apache.org%3E

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2021-30640

Для ОС ОН «Стрелец»:

https://strelets.net/patchi-i-obnovleniya-bezopasnosti#02112021regulyarnoe-obnovlenie

Для Astra Linux:

использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:

Обновление программного обеспечения tomcat9 до версии 9.0.43+repack-2~deb11u3osnova1

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2258

Для ОС ОН «Стрелец»:

Обновление программного обеспечения tomcat8 до версии 8.5.54-0+deb9u8

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-30640
CVE

EPSS

Процентиль: 40%

0.00179

Низкий

4.8 Medium

CVSS3

4 Medium

CVSS2

Связанные уязвимости

ROS-20250424-14

CVSS3: 4.8

redos

4 месяца назад

Уязвимость tomcat

CVE-2021-30640

CVSS3: 6.5

ubuntu

около 4 лет назад

A vulnerability in the JNDI Realm of Apache Tomcat allows an attacker to authenticate using variations of a valid user name and/or to bypass some of the protection provided by the LockOut Realm. This issue affects Apache Tomcat 10.0.0-M1 to 10.0.5; 9.0.0.M1 to 9.0.45; 8.5.0 to 8.5.65.

CVE-2021-30640

CVSS3: 6.5

redhat

около 4 лет назад

CVE-2021-30640

CVSS3: 6.5

nvd

около 4 лет назад

CVE-2021-30640

CVSS3: 6.5

debian

около 4 лет назад

A vulnerability in the JNDI Realm of Apache Tomcat allows an attacker ...

EPSS

Процентиль: 40%

0.00179

Низкий

4.8 Medium

CVSS3

4 Medium

CVSS2