BDU:2022-06318

Опубликовано: 06 мар. 2014

Источник: fstec

CVSS3: 4.7

CVSS2: 5

EPSS Критический

Описание

Уязвимость реализации класса ParametersInterceptor программной платформы Apache Struts связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на целостность защищаемой информации с помощью параметра класса, который передается методу getClass

Вендор

Apache Software Foundation

IBM Corp.

Broadcom Inc.

Oracle Corp.

Наименование ПО

Struts

IBM Sterling Order Management

IBM Sterling Selling and Fulfillment Foundation

IBM Sterling Field Sales

IBM Sterling Web Channel

VMware Aria Operations

MySQL Enterprise Monitor

IBM Call Center for Commerce

IBM Storwize V7000

IBM Storwize V5000

IBM Storwize V3700

IBM Storwize V3500

VMware Aria Automation Orchestrator

Версия ПО

от 2.0.0 до 2.3.16.2 (Struts)

8.5 (IBM Sterling Order Management)

9.0 (IBM Sterling Selling and Fulfillment Foundation)

9.1.0 (IBM Sterling Selling and Fulfillment Foundation)

9.2.0 (IBM Sterling Selling and Fulfillment Foundation)

9.2.1 (IBM Sterling Selling and Fulfillment Foundation)

9.3.0 (IBM Sterling Selling and Fulfillment Foundation)

9.0 (IBM Sterling Field Sales)

9.1.0 (IBM Sterling Field Sales)

9.2.0 (IBM Sterling Field Sales)

9.2.1 (IBM Sterling Field Sales)

9.3.0 (IBM Sterling Field Sales)

9.0 (IBM Sterling Web Channel)

9.1 (IBM Sterling Web Channel)

от 5.8.0 до 5.8.2 (VMware Aria Operations)

от 5.7.0 до 5.7.3 (VMware Aria Operations)

до 2.3.16 включительно (MySQL Enterprise Monitor)

9.5.0 (IBM Call Center for Commerce)

10.0 (IBM Call Center for Commerce)

до 3.0.10 включительно (MySQL Enterprise Monitor)

до 7.2.0.8 (IBM Storwize V7000)

до 7.2.0.8 (IBM Storwize V5000)

до 7.2.0.8 (IBM Storwize V3700)

до 7.2.0.8 (IBM Storwize V3500)

от 5.5 до 5.5.2 (VMware Aria Automation Orchestrator)

5.1 (VMware Aria Automation Orchestrator)

4.2 (VMware Aria Automation Orchestrator)

Тип ПО

Прикладное ПО информационных систем

ПО виртуализации/ПО виртуального программно-аппаратного средства

Сетевое программное средство

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 5)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 4,7)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache Struts:

https://cwiki.apache.org/confluence/display/WW/S2-020

Компенсирующие меры:

добавить '^ class\.*' в список excludeParams:

<interceptor-ref name="params">

<param name="excludeParams">^class\..*,^dojo\..*,^struts\..*,^session\..*,^request\..*,^application\..*,^servlet(Request|Response)\..*,^parameters\..*,^action:.*,^method:.*</param>

</interceptor-ref>

Для программных продуктов Oracle:

https://www.oracle.com/security-alerts/cpuapr2015.html

Для программных продуктов IBM Corp.:

https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/

https://www.ibm.com/support/pages/security-bulletin-security-bypass-vulnerability-san-volume-controller-and-storwize-family-cve-2014-0094-0

https://www.ibm.com/support/pages/security-bulletin-ibm-sterling-order-management-ibm-sterling-configure-price-quote-and-sterling-web-channel-are-affected-apache-struts-2-security-vulnerabilities

Для программных продуктов VMware:

https://www.vmware.com/security/advisories/VMSA-2014-0007.html

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 100%

0.99524

Критический

4.7 Medium

CVSS3

5 Medium

CVSS2

Связанные уязвимости

CVE-2014-0094

ubuntu

больше 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

redhat

больше 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

nvd

больше 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remote attackers to "manipulate" the ClassLoader via the class parameter, which is passed to the getClass method.

CVE-2014-0094

debian

больше 12 лет назад

The ParametersInterceptor in Apache Struts before 2.3.16.2 allows remo ...

GHSA-vrwc-qjmw-5rjm

github

около 4 лет назад

ClassLoader manipulation in Apache Struts

EPSS

Процентиль: 100%

0.99524

Критический

4.7 Medium

CVSS3

5 Medium

CVSS2