BDU:2023-01106 (CVE-2018-5430) — уязвимость приложений для создания отчетов TIBCO JasperReports Server TIBCO
По данным БДУ ФСТЭК России, по состоянию на 24.09.2024.
Высокий — 7.7/10 Публичный эксплойт Есть инциденты ИБ Устранена
Уязвимость приложений для создания отчетов TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, и TIBCO Jaspersoft Reporting and Analytics for AWS существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, раскрыть защищаемую информацию
Кого касается и что делать
- Уязвимое ПО: JasperReports Server (TIBCO Software) — версии до 6.2.4 включительно, 6.3.0, 6.3.2, 6.3.3, 6.4.0, 6.4.2; JasperReports Server Community Edition (TIBCO Software) — версии до 6.4.2 включительно; JasperReports Server for ActiveMatrix BPM (TIBCO Software) — версии до 6.4.2 включительно; и ещё 2 позиции
- Что делать: уязвимость устранена производителем — применить исправления: www.tibco.com
- Эксплойт: существует в открытом доступе — приоритет обновления внеочередной
Сведения об уязвимости
| Идентификаторы | BDU:2023-01106 · CVE-2018-5430 |
| Уровень опасности | Высокий (базовая оценка CVSS 3.1 — 7.7; CVSS 2.0 — 6.8) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, нужны права пользователя, без участия пользователя, затрагивает смежные компоненты, высокое влияние на конфиденциальность |
| Наименование ФСТЭК | Уязвимость приложений для создания отчетов TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, и TIBCO Jaspersoft Reporting and Analytics for AWS, существующая из-за неверного ограничения имени пути к каталогу с ограниченным доступом, позволяющая нарушителю раскрыть защищаемую информацию |
| Даты | Опубликована: 07.03.2023 · Обновлена ФСТЭК: 24.09.2024 · Выявлена: 17.04.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Существует в открытом доступе (код атаки общедоступен, риск эксплуатации повышен) |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-22 — неверное ограничение имени пути к каталогу с ограниченным доступом («Обход пути») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- JasperReports Server (TIBCO Software) — версии до 6.2.4 включительно, 6.3.0, 6.3.2, 6.3.3, 6.4.0, 6.4.2 · прикладное ПО информационных систем
- JasperReports Server Community Edition (TIBCO Software) — до 6.4.2 включительно · прикладное ПО информационных систем
- JasperReports Server for ActiveMatrix BPM (TIBCO Software) — до 6.4.2 включительно · прикладное ПО информационных систем
- Jaspersoft for AWS with Multi-Tenancy (TIBCO Software) — до 6.4.2 включительно · прикладное ПО информационных систем
- Jaspersoft Reporting and Analytics for AWS (TIBCO Software) — до 6.4.2 включительно · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций производителя
- www.tibco.com/support/advisories/2018/04/tibco-security-a…
