BDU:2022-06318

Опубликовано: 06 мар. 2014

Источник: fstec

CVSS3: 4.7

CVSS2: 5

EPSS Критический

Описание

Уязвимость реализации класса ParametersInterceptor программной платформы Apache Struts связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации с помощью параметра класса, который передается методу getClass

Вендор

Apache Software Foundation

IBM Corp.

VMware Inc.

Oracle Corp.

Наименование ПО

Struts

IBM Sterling Order Management

IBM Sterling Selling and Fulfillment Foundation

IBM Sterling Field Sales

IBM Sterling Web Channel

VMware vCenter Operations Management Suite

MySQL Enterprise Monitor

IBM Call Center for Commerce

IBM Storwize V7000

IBM Storwize V5000

IBM Storwize V3700

IBM Storwize V3500

VMware vCenter Orchestrator

Версия ПО

от 2.0.0 до 2.3.16.2 (Struts)

8.5 (IBM Sterling Order Management)

9.0 (IBM Sterling Selling and Fulfillment Foundation)

9.1.0 (IBM Sterling Selling and Fulfillment Foundation)

9.2.0 (IBM Sterling Selling and Fulfillment Foundation)

9.2.1 (IBM Sterling Selling and Fulfillment Foundation)

9.3.0 (IBM Sterling Selling and Fulfillment Foundation)

9.0 (IBM Sterling Field Sales)

9.1.0 (IBM Sterling Field Sales)

9.2.0 (IBM Sterling Field Sales)

9.2.1 (IBM Sterling Field Sales)

9.3.0 (IBM Sterling Field Sales)

9.0 (IBM Sterling Web Channel)

9.1 (IBM Sterling Web Channel)

от 5.8.0 до 5.8.2 (VMware vCenter Operations Management Suite)

от 5.7.0 до 5.7.3 (VMware vCenter Operations Management Suite)

до 2.3.16 включительно (MySQL Enterprise Monitor)

9.5.0 (IBM Call Center for Commerce)

10.0 (IBM Call Center for Commerce)

до 3.0.10 включительно (MySQL Enterprise Monitor)

до 7.2.0.8 (IBM Storwize V7000)

до 7.2.0.8 (IBM Storwize V5000)

до 7.2.0.8 (IBM Storwize V3700)

до 7.2.0.8 (IBM Storwize V3500)

от 5.5 до 5.5.2 (VMware vCenter Orchestrator)

5.1 (VMware vCenter Orchestrator)

4.2 (VMware vCenter Orchestrator)

Тип ПО

Прикладное ПО информационных систем

Сетевое средство

Сетевое программное средство

ПО виртуализации/ПО виртуального программно-аппаратного средства

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache Struts:

https://cwiki.apache.org/confluence/display/WW/S2-020

Компенсирующие меры:

добавить '^ class\.*' в список excludeParams:

<interceptor-ref name="params">

<param name="excludeParams">^class\..*,^dojo\..*,^struts\..*,^session\..*,^request\..*,^application\..*,^servlet(Request|Response)\..*,^parameters\..*,^action:.*,^method:.*</param>

</interceptor-ref>

Для программных продуктов Oracle:

https://www.oracle.com/security-alerts/cpuapr2015.html

Для программных продуктов IBM Corp.:

https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/

https://www.ibm.com/support/pages/security-bulletin-security-bypass-vulnerability-san-volume-controller-and-storwize-family-cve-2014-0094-0

https://www.ibm.com/support/pages/security-bulletin-ibm-sterling-order-management-ibm-sterling-configure-price-quote-and-sterling-web-channel-are-affected-apache-struts-2-security-vulnerabilities

Для программных продуктов VMware:

https://www.vmware.com/security/advisories/VMSA-2014-0007.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%

0.93242

Критический

4.7 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2014-0094

ubuntu

почти 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

redhat

почти 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

nvd

почти 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

debian

почти 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remo ...

GHSA-vrwc-qjmw-5rjm

github

больше 3 лет назад

ClassLoader manipulation in Apache Struts

EPSS

Процентиль: 100%

0.93242

Критический

4.7 Medium

CVSS3

5 Medium

CVSS2