BDU:2022-06636

Опубликовано: 20 авг. 2013

Источник: fstec

CVSS3: 5.3

CVSS2: 4.3

EPSS Низкий

Описание

Уязвимость компонента jcp/xml/dsig/internal/dom/DOMCanonicalizationMethod.java платформы для обеспечения стандартов безопасности для Apache Santuario XML Security for Java связана с ошибками шифрования данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, подменить XML-подпись с помощью параметра CanonicalizationMethod

Вендор

IBM Corp.

Apache Software Foundation

Наименование ПО

Tivoli Business Service Manager

Santuario XML Security

Версия ПО

6.2.0 (Tivoli Business Service Manager)

от 1.4.0 до 1.4.8 (Santuario XML Security)

от 1.5.0 до 1.5.5 (Santuario XML Security)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Средний уровень опасности (базовая оценка CVSS 2.0 составляет 4,3)

Средний уровень опасности (базовая оценка CVSS 3.0 составляет 5,3)

Возможные меры по устранению уязвимости

Использование рекомендаций:

Для Apache Santuario XML Security для Java:

http://svn.apache.org/viewvc/santuario/xml-security-java/branches/1.5.x-fixes/src/main/java/org/apache/jcp/xml/dsig/internal/dom/DOMCanonicalizationMethod.java?r1=1353876&r2=1493772&pathrev=1493772&diff_format=h

Для программных продуктов IBM Corp.:

https://www.ibm.com/support/pages/node/6826621

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2013-2172
CVE

EPSS

Процентиль: 90%

0.05394

Низкий

5.3 Medium

CVSS3

4.3 Medium

CVSS2

Связанные уязвимости

CVE-2013-2172

ubuntu

больше 12 лет назад

jcp/xml/dsig/internal/dom/DOMCanonicalizationMethod.java in Apache Santuario XML Security for Java 1.4.x before 1.4.8 and 1.5.x before 1.5.5 allows context-dependent attackers to spoof an XML Signature by using the CanonicalizationMethod parameter to specify an arbitrary weak "canonicalization algorithm to apply to the SignedInfo part of the Signature."