Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-02259

Опубликовано: 10 дек. 2021
Источник: fstec
CVSS3: 8.1
CVSS2: 8.5
EPSS Низкий

Описание

Уязвимость пакета com.h2database:h2 системы управления базами данных H2 связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить XXE-атаки

Вендор

Сообщество свободного программного обеспечения
Red Hat Inc.
Sonatype Inc.

Наименование ПО

Debian GNU/Linux
Red Hat build of Quarkus
Red Hat Integration Service Registry
H2
Nexus Repository Manager

Версия ПО

10 (Debian GNU/Linux)
- (Red Hat build of Quarkus)
- (Red Hat Integration Service Registry)
11 (Debian GNU/Linux)
12 (Debian GNU/Linux)
от 1.4.198 до 2.0.202 (H2)
3.65.0-02 (Nexus Repository Manager)

Тип ПО

Операционная система
Прикладное ПО информационных систем
СУБД

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 10
Сообщество свободного программного обеспечения Debian GNU/Linux 11
Сообщество свободного программного обеспечения Debian GNU/Linux 12

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 8,5)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 8,1)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для H2:
https://github.com/h2database/h2database/issues/3195
https://github.com/h2database/h2database/pull/3199
https://security.netapp.com/advisory/ntap-20230818-0010/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2021-23463
Компенсирующие меры для Nexus:
- использование средств межсетевого экранирования уровня веб-приложений;
- использование антивирусного программного обеспечения для анализа XML-файлов;
- использование сторонних средств контроля доступа пользователей (VPN и др.) к программному продукту из общедоступных сетей (Интернет).

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Уязвимость устранена

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 59%
0.00376
Низкий

8.1 High

CVSS3

8.5 High

CVSS2

Связанные уязвимости

ubuntu логотип

CVE-2021-23463

CVSS3: 8.1
ubuntu
около 4 лет назад

The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.

redhat логотип

CVE-2021-23463

CVSS3: 6.8
redhat
больше 4 лет назад

The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.

nvd логотип

CVE-2021-23463

CVSS3: 8.1
nvd
около 4 лет назад

The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vulnerable to XML External Entity (XXE) Injection via the org.h2.jdbc.JdbcSQLXML class object, when it receives parsed string data from org.h2.jdbc.JdbcResultSet.getSQLXML() method. If it executes the getSource() method when the parameter is DOMSource.class it will trigger the vulnerability.

debian логотип

CVE-2021-23463

CVSS3: 8.1
debian
около 4 лет назад

The package com.h2database:h2 from 1.4.198 and before 2.0.202 are vuln ...

github логотип

GHSA-7rpj-hg47-cx62

CVSS3: 8.1
github
около 4 лет назад

Improper Restriction of XML External Entity Reference in com.h2database:h2.

EPSS

Процентиль: 59%
0.00376
Низкий

8.1 High

CVSS3

8.5 High

CVSS2