BDU:2022-05996

Опубликовано: 19 апр. 2016

Источник: fstec

CVSS3: 8.1

CVSS2: 9.3

EPSS Критический

Описание

Уязвимость реализации механизма Dynamic Method Invocation (DMI) программной платформы Apache Struts связана с непринятием мер по очистке входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код

Вендор

Oracle Corp.

IBM Corp.

Apache Software Foundation

Наименование ПО

Oracle FLEXCUBE Private Banking

IBM Call Center for Commerce

Struts

MICROS Retail XBRi Loss Prevention

Siebel Apps - E-Billing

Версия ПО

2.0.0.0 (Oracle FLEXCUBE Private Banking)

12.0.1.0 (Oracle FLEXCUBE Private Banking)

12.0.3.0 (Oracle FLEXCUBE Private Banking)

12.1.0.0 (Oracle FLEXCUBE Private Banking)

2.0.1 (Oracle FLEXCUBE Private Banking)

9.5.0 (IBM Call Center for Commerce)

10.0 (IBM Call Center for Commerce)

от 2.3.20 до 2.3.20.3 (Struts)

от 2.3.21 до 2.3.24.3 (Struts)

от 2.3.25 до 2.3.28 (Struts)

10.0.1 (MICROS Retail XBRi Loss Prevention)

10.5.0 (MICROS Retail XBRi Loss Prevention)

10.6.0 (MICROS Retail XBRi Loss Prevention)

10.7.0 (MICROS Retail XBRi Loss Prevention)

10.8.0 (MICROS Retail XBRi Loss Prevention)

10.8.1 (MICROS Retail XBRi Loss Prevention)

7.1 (Siebel Apps - E-Billing)

2.2.0 (Oracle FLEXCUBE Private Banking)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,3)

Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache Struts:

https://cwiki.apache.org/confluence/display/WW/S2-032

Для программных продуктов IBM:

https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/

Для программных продуктов Oracle:

http://www.oracle.com/technetwork/security-advisory/cpujul2016-2881720.html

http://www.oracle.com/technetwork/security-advisory/cpuoct2016-2881722.html

Компенсирующие меры:

Следует отключить механизм Dynamic Method Invocation (DMI)

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2016-3081
CVE

EPSS

Процентиль: 100%

0.94047

Критический

8.1 High

CVSS3

9.3 Critical

CVSS2

Связанные уязвимости

CVE-2016-3081

CVSS3: 8.1

ubuntu

почти 10 лет назад

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2.3.28, when Dynamic Method Invocation is enabled, allow remote attackers to execute arbitrary code via method: prefix, related to chained expressions.

CVE-2016-3081

redhat

почти 10 лет назад

CVE-2016-3081

CVSS3: 8.1

nvd

почти 10 лет назад

CVE-2016-3081

CVSS3: 8.1

debian

почти 10 лет назад

Apache Struts 2.3.19 to 2.3.20.2, 2.3.21 to 2.3.24.1, and 2.3.25 to 2. ...

GHSA-8c6j-ffmf-q6vm

CVSS3: 8.1

github

больше 3 лет назад

Apache Struts RCE Vulnerability

EPSS

Процентиль: 100%

0.94047

Критический

8.1 High

CVSS3

9.3 Critical

CVSS2