CVE-2019-3799

Опубликовано: 06 мая 2019

Источник: nvd

CVSS3: 6.5

CVSS2: 4.3

EPSS Критический

Описание

Spring Cloud Config, versions 2.1.x prior to 2.1.2, versions 2.0.x prior to 2.0.4, and versions 1.4.x prior to 1.4.6, and older unsupported versions allow applications to serve arbitrary configuration files through the spring-cloud-config-server module. A malicious user, or attacker, can send a request using a specially crafted URL that can lead a directory traversal attack.

Ссылки

https://pivotal.io/security/cve-2019-3799
Vendor Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory
https://pivotal.io/security/cve-2019-3799
Vendor Advisory
https://www.oracle.com/security-alerts/cpuapr2022.html
Patch
Third Party Advisory

Уязвимые конфигурации

Конфигурация 1

Одно из

cpe:2.3:a:vmware:spring_cloud_config:*:*:*:*:*:*:*:*

Версия от 1.4.0 (включая) до 1.4.6 (исключая)

cpe:2.3:a:vmware:spring_cloud_config:*:*:*:*:*:*:*:*

Версия от 2.0.0 (включая) до 2.0.4 (исключая)

cpe:2.3:a:vmware:spring_cloud_config:*:*:*:*:*:*:*:*

Версия от 2.1.0 (включая) до 2.1.2 (исключая)

Конфигурация 2

cpe:2.3:a:oracle:communications_cloud_native_core_policy:1.15.0:*:*:*:*:*:*:*

EPSS

Процентиль: 100%

0.91318

Критический

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-22

Связанные уязвимости

CVE-2019-3799

CVSS3: 4.3

redhat

почти 7 лет назад

GHSA-4x49-w62v-76q7

CVSS3: 6.5

github

больше 6 лет назад

Path Traversal in Spring Cloud Config

BDU:2022-02830

CVSS3: 6.5

fstec

почти 7 лет назад

Уязвимость сервера Spring Cloud Config, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю раскрыть защищаемую информацию

EPSS

Процентиль: 100%

0.91318

Критический

6.5 Medium

CVSS3

4.3 Medium

CVSS2

Дефекты

CWE-22