BDU:2021-01012 (CVE-2019-11269) — уязвимость компонента OAuth Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security
По данным БДУ ФСТЭК России, по состоянию на 02.03.2021.
Средний — 4.2/10 Устранена
Уязвимость компонента OAuth Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security связана с переадресацией URL на ненадежный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации
Кого касается и что делать
- Уязвимое ПО: Oracle Banking Liquidity Management (Oracle) — версии от 14.0.0 до 14.4.0 включительно; Oracle Banking Credit Facilities Process Management (Oracle) — версии 14.1.0, 14.3.0, 14.4.0; Oracle Banking Payments (Oracle) — версии 14.4.0; и ещё 6 позиций
- Что делать: уязвимость устранена производителем — применить исправления: pivotal.io, www.oracle.com
Сведения об уязвимости
| Идентификаторы | BDU:2021-01012 · CVE-2019-11269 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 4.2; CVSS 2.0 — 6.3) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, высокая сложность, нужны права администратора, требуется участие пользователя, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость компонента OAuth Java-фреймворка для обеспечения безопасности промышленных приложений Spring Security, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации |
| Даты | Опубликована: 02.03.2021 · Обновлена ФСТЭК: 02.03.2021 · Выявлена: 06.12.2019 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-601 — переадресация URL на ненадежный сайт («Открытая переадресация») |
| Класс уязвимости | Уязвимость архитектуры · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- Oracle Banking Liquidity Management (Oracle) — от 14.0.0 до 14.4.0 включительно · прикладное ПО информационных систем
- Oracle Banking Credit Facilities Process Management (Oracle) — версии 14.1.0, 14.3.0, 14.4.0 · прикладное ПО информационных систем
- Oracle Banking Payments (Oracle) — 14.4.0 · прикладное ПО информационных систем
- Oracle Banking Supply Chain Finance (Oracle) — от 14.2.0 до 14.4.0 включительно · прикладное ПО информационных систем
- Oracle Banking Trade Finance Process Management (Oracle) — версии 14.1.0, 14.3.0, 14.4.0 · прикладное ПО информационных систем
- Oracle Banking Virtual Account Management (Oracle) — версии 14.1.0, 14.3.0, 14.4.0 · прикладное ПО информационных систем
- Oracle Banking Corporate Lending Process Management (Oracle) — версии 14.1.0, 14.3.0, 14.4.0 · прикладное ПО информационных систем
- Spring Security (Broadcom) — версии от 2.0.0 до 2.0.18, от 2.1.0 до 2.1.5, от 2.2.0 до 2.2.5, от 2.3.0 до 2.3.6 · сетевое программное средство
- Oracle FLEXCUBE Universal Banking (Oracle) — 14.4.0 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Использование рекомендаций
- Для Spring Security: pivotal.io/security/cve-2019-11269
- Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujan2021.html
