BDU:2024-02726

Опубликовано: 01 мар. 2024

Источник: fstec

CVSS3: 9.1

CVSS2: 9.4

EPSS Низкий

Описание

Уязвимость программного обеспечения управления репозиториями Apache Archiva связана с неправильной авторизацией. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к учетной записи пользователя

Вендор

Apache Software Foundation

Наименование ПО

Archiva

Версия ПО

от 2.0.0 до 2.2.10 включительно (Archiva)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 9,4)

Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,1)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств обнаружения и предотвращения вторжений для отслеживания индикаторов компрометации;

- использование антивирусных средств защиты для отслеживания средств эксплуатации уязвимостей;

- использование средств межсетевого экранирования уровня веб-приложений для ограничения возможности удаленного доступа.

Организационные меры:

1. Ограничить использование программного средства

2. Использование аналогичного программного средства

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Существует

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2024-27139
CVE

EPSS

Процентиль: 68%

0.00561

Низкий

9.1 Critical

CVSS3

9.4 Critical

CVSS2

Связанные уязвимости

CVE-2024-27139

CVSS3: 7.5

nvd

почти 2 года назад

** UNSUPPORTED WHEN ASSIGNED ** Incorrect Authorization vulnerability in Apache Archiva: a vulnerability in Apache Archiva allows an unauthenticated attacker to modify account data, potentially leading to account takeover. This issue affects Apache Archiva: from 2.0.0. As this project is retired, we do not plan to release a version that fixes this issue. Users are recommended to find an alternative or restrict access to the instance to trusted users. NOTE: This vulnerability only affects products that are no longer supported by the maintainer.

GHSA-h595-vwhc-3xwx