Логотип exploitDog
Консоль
Логотип exploitDog

exploitDog

fstec логотип

BDU:2024-03597

Опубликовано: 09 нояб. 2022
Источник: fstec
CVSS3: 7.5
CVSS2: 7.8
EPSS Низкий

Описание

Уязвимость класса JsonErrorReportValve сервера приложений Apache Tomcat связана с недостатком механизма кодирования или экранирования выходных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать влияние на целостность защищаемой информации

Вендор

Сообщество свободного программного обеспечения
ООО «Ред Софт»
АО "НППКТ"
Oracle Corp.
Apache Software Foundation

Наименование ПО

Debian GNU/Linux
РЕД ОС
ОСОН ОСнова Оnyx
Oracle Exadata
Apache Tomcat

Версия ПО

11 (Debian GNU/Linux)
7.3 (РЕД ОС)
до 2.8 (ОСОН ОСнова Оnyx)
21.2.23.0.0 (Patch 35130088) (Oracle Exadata)
21.2.23.0.0 (Patch 35277269) (Oracle Exadata)
8.5.83 (Apache Tomcat)
от 9.0.40 до 9.0.69 (Apache Tomcat)
от 10.1.0-M1 до 10.1.2 (Apache Tomcat)

Тип ПО

Операционная система
СУБД
Сетевое программное средство

Операционные системы и аппаратные платформы

Сообщество свободного программного обеспечения Debian GNU/Linux 11
ООО «Ред Софт» РЕД ОС 7.3
АО "НППКТ" ОСОН ОСнова Оnyx до 2.8

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)
Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,5)

Возможные меры по устранению уязвимости

Использование рекомендаций:
Для Apache Tomcat:
https://lists.apache.org/thread/yqkd183xrw3wqvnpcg3osbcryq85fkzj
https://github.com/apache/tomcat/commit/0cab3a56bd89f70e7481bb0d68395dc7e130dbbf
https://github.com/apache/tomcat/commit/b336f4e58893ea35114f1e4a415657f723b1298e
https://tomcat.apache.org/security-10.html
https://tomcat.apache.org/security-9.html
https://tomcat.apache.org/security-8.html
Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-45143
Для Oracle Exadata:
Обновление до версии 21.2.24.0.0:
https://blogs.oracle.com/exadata/post/software-2023-may
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения tomcat9 до версии 9.0.43+repack-2~deb11u6.osnova1
Для РедОС: http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Статус уязвимости

Подтверждена производителем

Наличие эксплойта

Данные уточняются

Информация об устранении

Уязвимость устранена

Идентификаторы других систем описаний уязвимостей

EPSS

Процентиль: 75%
0.00933
Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVSS3: 7.5
redos
11 месяцев назад

Уязвимость tomcat

CVSS3: 7.5
ubuntu
больше 2 лет назад

The JsonErrorReportValve in Apache Tomcat 8.5.83, 9.0.40 to 9.0.68 and 10.1.0-M1 to 10.1.1 did not escape the type, message or description values. In some circumstances these are constructed from user provided data and it was therefore possible for users to supply values that invalidated or manipulated the JSON output.

CVSS3: 7.5
redhat
больше 2 лет назад

The JsonErrorReportValve in Apache Tomcat 8.5.83, 9.0.40 to 9.0.68 and 10.1.0-M1 to 10.1.1 did not escape the type, message or description values. In some circumstances these are constructed from user provided data and it was therefore possible for users to supply values that invalidated or manipulated the JSON output.

CVSS3: 7.5
nvd
больше 2 лет назад

The JsonErrorReportValve in Apache Tomcat 8.5.83, 9.0.40 to 9.0.68 and 10.1.0-M1 to 10.1.1 did not escape the type, message or description values. In some circumstances these are constructed from user provided data and it was therefore possible for users to supply values that invalidated or manipulated the JSON output.

CVSS3: 7.5
debian
больше 2 лет назад

The JsonErrorReportValve in Apache Tomcat 8.5.83, 9.0.40 to 9.0.68 and ...

EPSS

Процентиль: 75%
0.00933
Низкий

7.5 High

CVSS3

7.8 High

CVSS2