BDU:2022-03434

Опубликовано: 28 апр. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость реализации класса EncryptInterceptor сервера приложений Apache Tomcat связана с неполной документацией по выполнению программы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании

Вендор

Red Hat Inc.

Сообщество свободного программного обеспечения

Novell Inc.

ООО «Ред Софт»

Apache Software Foundation

АО "НППКТ"

АО «НТЦ ИТ РОСА»

АО «ИВК»

Наименование ПО

Red Hat Enterprise Linux

Debian GNU/Linux

SUSE Linux Enterprise Server for SAP Applications

Red Hat JBoss Fuse

Suse Linux Enterprise Server

Red Hat Descision Manager

Red Hat JBoss Data Virtualization

JBoss Enterprise Application Platform

РЕД ОС

Apache Tomcat

Red Hat JBoss Data Grid

ОСОН ОСнова Оnyx

РОСА ХРОМ

АЛЬТ СП 10

ROSA Virtualization 3.0

Версия ПО

6 (Red Hat Enterprise Linux)

7 (Red Hat Enterprise Linux)

9 (Debian GNU/Linux)

12 SP4 (SUSE Linux Enterprise Server for SAP Applications)

8 (Red Hat Enterprise Linux)

7 (Red Hat JBoss Fuse)

15 (SUSE Linux Enterprise Server for SAP Applications)

15 SP1 (SUSE Linux Enterprise Server for SAP Applications)

12 SP5 (Suse Linux Enterprise Server)

12 SP5 (SUSE Linux Enterprise Server for SAP Applications)

10 (Debian GNU/Linux)

6 (Red Hat JBoss Fuse)

15-LTSS (Suse Linux Enterprise Server)

7 (Red Hat Descision Manager)

6 (Red Hat JBoss Data Virtualization)

6 (JBoss Enterprise Application Platform)

12 SP4 LTSS (Suse Linux Enterprise Server)

12 SP4-ESPOS (Suse Linux Enterprise Server)

15-ESPOS (Suse Linux Enterprise Server)

15 SP1-LTSS (Suse Linux Enterprise Server)

11 (Debian GNU/Linux)

7.3 (РЕД ОС)

15 SP3 (Suse Linux Enterprise Server)

15 SP3 (SUSE Linux Enterprise Server for SAP Applications)

15 SP2 (SUSE Linux Enterprise Server for SAP Applications)

15 SP4 (Suse Linux Enterprise Server)

15 SP4 (SUSE Linux Enterprise Server for SAP Applications)

9 (Red Hat Enterprise Linux)

15 SP2-LTSS (Suse Linux Enterprise Server)

от 10.1.0-M1 до 10.1.0-M14 включительно (Apache Tomcat)

от 10.0.0-M1 до 10.0.20 включительно (Apache Tomcat)

от 9.0.13 до 9.0.62 включительно (Apache Tomcat)

от 8.5.38 до 8.5.78 включительно (Apache Tomcat)

6 (Red Hat JBoss Data Grid)

до 2.6 (ОСОН ОСнова Оnyx)

12.4 (РОСА ХРОМ)

- (АЛЬТ СП 10)

3.0 (ROSA Virtualization 3.0)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Сетевое программное средство

Сетевое средство

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 6

Red Hat Inc. Red Hat Enterprise Linux 7

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP4

Red Hat Inc. Red Hat Enterprise Linux 8

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP1

Novell Inc. Suse Linux Enterprise Server 12 SP5

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 12 SP5

Сообщество свободного программного обеспечения Debian GNU/Linux 10

Novell Inc. Suse Linux Enterprise Server 15-LTSS

Novell Inc. Suse Linux Enterprise Server 12 SP4 LTSS

Novell Inc. Suse Linux Enterprise Server 12 SP4-ESPOS

Novell Inc. Suse Linux Enterprise Server 15-ESPOS

Novell Inc. Suse Linux Enterprise Server 15 SP1-LTSS

Сообщество свободного программного обеспечения Debian GNU/Linux 11

ООО «Ред Софт» РЕД ОС 7.3

Novell Inc. Suse Linux Enterprise Server 15 SP3

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP3

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP2

Novell Inc. Suse Linux Enterprise Server 15 SP4

Novell Inc. SUSE Linux Enterprise Server for SAP Applications 15 SP4

Red Hat Inc. Red Hat Enterprise Linux 9

Novell Inc. Suse Linux Enterprise Server 15 SP2-LTSS

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

АО «НТЦ ИТ РОСА» РОСА ХРОМ 12.4

АО «ИВК» АЛЬТ СП 10 -

АО «НТЦ ИТ РОСА» ROSA Virtualization 3.0 3.0

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций производителей:

Для Apache Tomcat

https://lists.apache.org/thread/2b4qmhbcyqvc7dyfpjyx54c03x65vhcv

Для Debian GNU/Linux:

https://security-tracker.debian.org/tracker/CVE-2022-29885

Для программных продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-29885

Для программных продуктов Novell Inc.:

https://www.suse.com/security/cve/CVE-2022-29885.html

Компенсирующие меры:

- организация канала связи альтернативным способом, например через VPN.

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения tomcat9 до версии 9.0.43+repack-2~deb11u4.osnova1

Для операционной системы РОСА ХРОМ: https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2258

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2697

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-29885
CVE

EPSS

Процентиль: 98%

0.66148

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240729-02

CVSS3: 7.5

redos

11 месяцев назад

Уязвимость tomcat

CVE-2022-29885

CVSS3: 7.5

ubuntu

около 3 лет назад

The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 to 10.0.20, 9.0.13 to 9.0.62 and 8.5.38 to 8.5.78 for the EncryptInterceptor incorrectly stated it enabled Tomcat clustering to run over an untrusted network. This was not correct. While the EncryptInterceptor does provide confidentiality and integrity protection, it does not protect against all risks associated with running over any untrusted network, particularly DoS risks.

CVE-2022-29885

CVSS3: 3.7

redhat

около 3 лет назад

CVE-2022-29885

CVSS3: 7.5

nvd

около 3 лет назад

CVE-2022-29885

CVSS3: 7.5

debian

около 3 лет назад

The documentation of Apache Tomcat 10.1.0-M1 to 10.1.0-M14, 10.0.0-M1 ...

EPSS

Процентиль: 98%

0.66148

Средний

7.5 High

CVSS3

7.8 High

CVSS2