BDU:2023-08340 (CVE-2023-5763) — уязвимость сервера приложений Eclipse Glassfish
По данным БДУ ФСТЭК России, по состоянию на 01.12.2023.
Критический — 9.8/10 Устранена
Уязвимость сервера приложений Eclipse Glassfish существует из-за недостаточной проверки входных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, загружать вредоносный код на сервер
Кого касается и что делать
- Уязвимое ПО: Eclipse Glassfish (Eclipse Foundation) — версии от 5.0.0 до 6.2.5 включительно
- Что делать: уязвимость устранена производителем — применить исправления: gitlab.eclipse.org
Сведения об уязвимости
| Идентификаторы | BDU:2023-08340 · CVE-2023-5763 |
| Уровень опасности | Критический (базовая оценка CVSS 3.1 — 9.8; CVSS 2.0 — 10.0) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность, целостность и доступность |
| Наименование ФСТЭК | Уязвимость сервера приложений Eclipse Glassfish, существующая из-за недостаточной проверки входных данных, позволяющая нарушителю загружать вредоносный код на сервер |
| Даты | Опубликована: 01.12.2023 · Обновлена ФСТЭК: 01.12.2023 · Выявлена: 25.10.2023 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-20 — недостаточная проверка вводимых данных; CWE-913 — недостаточный контроль ресурсов кода с динамическим управлением |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: злоупотребление функционалом |
Уязвимое ПО
- Eclipse Glassfish (Eclipse Foundation) — от 5.0.0 до 6.2.5 включительно · сетевое средство
Возможные меры по устранению уязвимости
Обновление.
- Использование рекомендаций производителя
- gitlab.eclipse.org/security/cve-assignement/-/issues/14
