BDU:2022-05231

Опубликовано: 14 янв. 2021

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость инструмент Java-to-XML Apache XMLBeans связана с ошибками при обработке XML-сущностей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании или раскрыть защищаемую информацию

Вендор

Сообщество свободного программного обеспечения

Oracle Corp.

Apache Software Foundation

IBM Corp.

Наименование ПО

Debian GNU/Linux

Fusion Middleware

PeopleSoft Enterprise PeopleTools

XMLBeans

IBM Sterling B2B Integrator

Версия ПО

9 (Debian GNU/Linux)

12.2.1.3.0 (Fusion Middleware)

8.57 (PeopleSoft Enterprise PeopleTools)

12.2.1.4.0 (Fusion Middleware)

8.58 (PeopleSoft Enterprise PeopleTools)

8.59 (PeopleSoft Enterprise PeopleTools)

до 2.6.0 включительно (XMLBeans)

от 6.1.0.0 до 6.1.0.2 включительно (IBM Sterling B2B Integrator)

от 6.0.0.0 до 6.0.0.6 включительно (IBM Sterling B2B Integrator)

от 6.0.1.0 до 6.0.3.4 включительно (IBM Sterling B2B Integrator)

от 5.2.0.0 до 5.2.6.5_4 включительно (IBM Sterling B2B Integrator)

Тип ПО

Операционная система

ПО виртуализации/ПО виртуального программно-аппаратного средства

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 9

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для XMLBeans:

https://www.ibm.com/support/pages/node/6495963

Для программных продуктов Apache Software Foundation:

https://issues.apache.org/jira/browse/XMLBEANS-517

https://lists.apache.org/thread.html/r2dc5588009dc9f0310b7382269f932cc96cae4c3901b747dda1a7fed@%3Cjava-dev.axis.apache.org%3E

https://lists.apache.org/thread.html/rbb01d10512098894cd5f22325588197532c64f1c818ea7e4120d40c1@%3Cjava-dev.axis.apache.org%3E

Для Debian GNU/Linux:

https://lists.debian.org/debian-lts-announce/2021/06/msg00024.html

Для программных продуктов Oracle Corp.:

https://www.oracle.com/security-alerts/cpujul2022.html

https://www.oracle.com/security-alerts/cpuoct2021.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2021-23926
CVE

EPSS

Процентиль: 55%

0.00322

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2021-23926

CVSS3: 9.1

ubuntu

около 5 лет назад

The XML parsers used by XMLBeans up to version 2.6.0 did not set the properties needed to protect the user from malicious XML input. Vulnerabilities include possibilities for XML Entity Expansion attacks. Affects XMLBeans up to and including v2.6.0.

CVE-2021-23926

CVSS3: 7.4

redhat

около 5 лет назад

CVE-2021-23926

CVSS3: 9.1

nvd

около 5 лет назад

CVE-2021-23926

CVSS3: 9.1

debian

около 5 лет назад

The XML parsers used by XMLBeans up to version 2.6.0 did not set the p ...

SUSE-SU-2022:3876-1

suse-cvrf

больше 3 лет назад

Security update for xmlbeans

EPSS

Процентиль: 55%

0.00322

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2