BDU:2015-10383 (CVE-2015-1498) — уязвимость программы автоматизации работы пользователей Radia Client Automation

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Критический — 10.0/10 Устранена

Уязвимость программы автоматизации работы пользователей Radia Client Automation связана с недостатками разграничения доступа к некоторым функциям. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, перечислить учётные записи пользователей через запрос getUsers, назначить роль учётной записи пользователя через запрос addAssigneesToRole, удалить роль учётной записи пользователя через запрос removeAssigneesFromRole и др.

Кого касается и что делать

Уязвимое ПО: Radia Client Automation (Persistent Systems) — версии 7.9, 8.1, 9.0, 9.1
Что делать: уязвимость устранена производителем — применить исправления: radiasupport.accelerite.com, www.zerodayinitiative.com

Сведения об уязвимости

Идентификаторы	BDU:2015-10383 · CVE-2015-1498
Уровень опасности	Критический (базовая оценка CVSS 2.0 — 10.0)
Вектор CVSS 2.0	AV:N/AC:L/Au:N/C:C/I:C/A:C атака по сети, низкая сложность, без аутентификации, полное влияние на конфиденциальность, целостность и доступность
Наименование ФСТЭК	Уязвимость программы автоматизации работы пользователей Radia Client Automation, позволяющая нарушителю осуществить доступ к учётным записям пользователей
Даты	Опубликована: 07.07.2016 · Обновлена ФСТЭК: 23.03.2021 · Выявлена: 16.02.2015
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем)
Тип ошибки	CWE-264 — разрешения, привилегии и средства управления доступом
Класс уязвимости	Уязвимость кода