Уязвимость BDU:2024-11235
Идентификатор: BDU:2024-11235.
Наименование уязвимости: Уязвимость системы управления ИТ-инфраструктурой Now Platform, связанная с неверным управлением генерацией кода, позволяющая нарушителю выполнить произвольный код.
Описание уязвимости: Уязвимость системы управления ИТ-инфраструктурой Now Platform связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольный код
Уязвимое ПО: Прикладное ПО информационных систем, Сетевое программное средство ServiceNow, Inc. Now Platform Vancouver | Прикладное ПО информационных систем, Сетевое программное средство ServiceNow, Inc. Now Platform Washington DC | Прикладное ПО информационных систем, Сетевое программное средство ServiceNow, Inc. Now Platform Xanadu |
Наименование ОС и тип аппаратной платформы:
Дата выявления: 29.11.2024.
CVSS 2.0: AV:N/AC:L/Au:N/C:C/I:C/A:C
Уровень опасности уязвимости: Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10)
Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8)
Критический уровень опасности (базовая оценка CVSS 4.0 составляет 9,3)
Возможные меры по устранению:
Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.
Компенсирующие меры:
— использование «белого» списка IP-адресов для организации удалённого доступа к системе управления ИТ-инфраструктурой;
— использование средств межсетевого экранирования уровня веб-приложений для предотвращения попыток эксплуатации уязвимости;
— использование систем обнаружения и предотвращения вторжений с целью выявления и реагирования на попытки эксплуатации уязвимости;
— использование виртуальных частных сетей для организации удаленного доступа (VPN).
Использование рекомендаций:
https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1706070.
Статус уязвимости: Подтверждена производителем
Наличие эксплойта: Данные уточняются
Информация об устранении: Уязвимость устранена
Идентификаторы других систем описаний уязвимости: CVE-2024-8923.
Тип ошибки CWE:
Ссылки на источники:
cайт ФАУ «ГНИИИ ПТЗИ ФСТЭК России».
https://support.servicenow.com/kb?id=kb_article_view&sysparm_article=KB1706070
