BDU:2022-04788

Опубликовано: 13 июл. 2022

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Средний

Описание

Уязвимость библиотеки Apache Xalan Java XSLT связана с ошибкой приведения целочисленного значения при обработке таблиц стилей XSLT. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Вендор

Red Hat Inc.

ООО «Ред Софт»

АО «ИВК»

Oracle Corp.

АО "НППКТ"

АО «НТЦ ИТ РОСА»

OpenSearch

Axiom JDK

Наименование ПО

Red Hat Enterprise Linux

РЕД ОС

Альт 8 СП

Red Hat build of OpenJDK

Java SE

GraalVM Enterprise Edition

OpenJDK

ОСОН ОСнова Оnyx

РОСА Кобальт

Logstash

АЛЬТ СП 10

Axiom AxiomJDK

Версия ПО

7 (Red Hat Enterprise Linux)

8 (Red Hat Enterprise Linux)

8.2 Extended Update Support (Red Hat Enterprise Linux)

8.1 Update Services for SAP Solutions (Red Hat Enterprise Linux)

8.4 Extended Update Support (Red Hat Enterprise Linux)

7.3 (РЕД ОС)

- (Альт 8 СП)

11 (Red Hat build of OpenJDK)

17 (Red Hat build of OpenJDK)

1.8 (Red Hat build of OpenJDK)

9 (Red Hat Enterprise Linux)

7u343 (Java SE)

8u333 (Java SE)

11.0.15.1 (Java SE)

17.0.3.1 (Java SE)

18.0.1.1 (Java SE)

22.1.0 (GraalVM Enterprise Edition)

21.3.2 (GraalVM Enterprise Edition)

20.3.6 (GraalVM Enterprise Edition)

до 7u341 включительно (OpenJDK)

8u332 (OpenJDK)

11.0.15 (OpenJDK)

13.0.11 (OpenJDK)

15.0.7 (OpenJDK)

17.0.3 (OpenJDK)

18.0.1 (OpenJDK)

до 2.6 (ОСОН ОСнова Оnyx)

7.9 (РОСА Кобальт)

7u341 (OpenJDK)

8.9.0 (Logstash)

- (АЛЬТ СП 10)

до 2.9 (ОСОН ОСнова Оnyx)

до 11.0.15.1 (Axiom AxiomJDK)

до 17.0.3.1.1 (Axiom AxiomJDK)

до 17.0.4 (Axiom AxiomJDK)

до 8u341 (Axiom AxiomJDK)

Тип ПО

Операционная система

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Red Hat Inc. Red Hat Enterprise Linux 7

Red Hat Inc. Red Hat Enterprise Linux 8

Red Hat Inc. Red Hat Enterprise Linux 8.2 Extended Update Support

Red Hat Inc. Red Hat Enterprise Linux 8.1 Update Services for SAP Solutions

Red Hat Inc. Red Hat Enterprise Linux 8.4 Extended Update Support

ООО «Ред Софт» РЕД ОС 7.3

АО «ИВК» Альт 8 СП -

Red Hat Inc. Red Hat Enterprise Linux 9

АО "НППКТ" ОСОН ОСнова Оnyx до 2.6

АО «НТЦ ИТ РОСА» РОСА Кобальт 7.9

АО «ИВК» АЛЬТ СП 10 -

АО "НППКТ" ОСОН ОСнова Оnyx до 2.9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache:

https://github.com/openjdk/jdk/commit/41ef2b249073450172e11163a4d05762364b1297

Для продуктов Oracle:

https://www.oracle.com/security-alerts/cpujul2022.html#AppendixJAVA

https://openjdk.org/groups/vulnerability/advisories/2022-07-19

Для продуктов Red Hat Inc.:

https://access.redhat.com/security/cve/cve-2022-34169

Для OpenJDK:

https://openjdk.org/groups/vulnerability/advisories/2022-07-19

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения bcel до версии 6.2+repack-1+deb10u1.osnova1

Для ОС РОСА "КОБАЛЬТ":

https://abf.rosalinux.ru/advisories/ROSA-SA-2023-2138

Для ОСОН ОСнова Оnyx:

Обновление программного обеспечения openjdk-11 до версии 11.0.21+9.repack-1~deb10u1.osnova21

Для Axiom AxiomJDK:

https://axiomjdk.ru/blog/

Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Для ОС АЛЬТ СП 10: установка обновления из публичного репозитория программного средства

Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства: https://altsp.su/obnovleniya-bezopasnosti/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2022-34169
CVE

EPSS

Процентиль: 93%

0.1173

Средний

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

ROS-20240522-05

CVSS3: 7.5

redos

около 1 года назад

Множественные уязвимости java-11-openjdk

ROS-20240521-05

CVSS3: 9.1

redos

около 1 года назад

Множественные уязвимости java-1.8.0-openjdk

CVE-2022-34169

CVSS3: 7.5

ubuntu

почти 3 года назад

The Apache Xalan Java XSLT library is vulnerable to an integer truncation issue when processing malicious XSLT stylesheets. This can be used to corrupt Java class files generated by the internal XSLTC compiler and execute arbitrary Java bytecode. Users are recommended to update to version 2.7.3 or later. Note: Java runtimes (such as OpenJDK) include repackaged copies of Xalan.

CVE-2022-34169

CVSS3: 7.5

redhat

почти 3 года назад

CVE-2022-34169

CVSS3: 7.5

nvd

почти 3 года назад

EPSS

Процентиль: 93%

0.1173

Средний

7.5 High

CVSS3

7.8 High

CVSS2