BDU:2026-01134

Опубликовано: 28 дек. 2020

Источник: fstec

CVSS3: 7.5

CVSS2: 7.8

EPSS Низкий

Описание

Уязвимость модуля Rack::Protection веб-интерфейса для управления и взаимодействия с базой данных Cassandra Web связана с неверным ограничением имени пути к каталогу. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, читать произвольные файлы

Вендор

Сообщество свободного программного обеспечения

Наименование ПО

Cassandra Web

Версия ПО

0.5.0 (Cassandra Web)

Тип ПО

Прикладное ПО информационных систем

Операционные системы и аппаратные платформы

Уровень опасности уязвимости

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,8)

Высокий уровень опасности (базовая оценка CVSS 3.1 составляет 7,5)

Высокий уровень опасности (оценка CVSS 4.0 составляет 8,7)

Возможные меры по устранению уязвимости

Компенсирующие меры:

- использование средств межсетевого экранирования уровня веб-приложений (WAF) для фильтрации сетевого трафика;

- использование антивирусного программного обеспечения для проверки содержимого архивов, полученных из недоверенных источников;

- сегментирование сети для ограничения доступа к уязвимому программному обеспечению;

- использование систем обнаружения и предотвращения вторжений для обнаружения (выявления, регистрации) и реагирования на попытки эксплуатации уязвимостей;

- ограничение доступа из внешних сетей (Интернет);

- использование виртуальных частных сетей для организации удаленного доступа (VPN).

Статус уязвимости

Потенциальная уязвимость

Наличие эксплойта

Существует в открытом доступе

Информация об устранении

Информация об устранении отсутствует

Ссылки на источники

Идентификаторы других систем описаний уязвимостей

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2020-36939
CVE

EPSS

Процентиль: 63%

0.00445

Низкий

7.5 High

CVSS3

7.8 High

CVSS2

Связанные уязвимости

CVE-2020-36939

CVSS3: 7.5

nvd

12 дней назад

Cassandra Web 0.5.0 contains a directory traversal vulnerability that allows unauthenticated attackers to read arbitrary files by manipulating path traversal parameters. Attackers can exploit the disabled Rack::Protection module to read sensitive system files like /etc/passwd and retrieve Apache Cassandra database credentials.

CVE-2020-36939

CVSS3: 7.5

debian

12 дней назад

Cassandra Web 0.5.0 contains a directory traversal vulnerability that ...

GHSA-8mfv-xhp5-48q9

CVSS3: 7.5

github

12 дней назад

EPSS

Процентиль: 63%

0.00445

Низкий

7.5 High

CVSS3

7.8 High

CVSS2