BDU:2019-02936 (CVE-2019-10173) — уязвимость Java-библиотеки для преобразования объектов в XML или JSON формат XStream

По данным БДУ ФСТЭК России, по состоянию на 23.03.2021.

Уязвимость Java-библиотеки для преобразования объектов в XML или JSON формат XStream связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, выполнить произвольные команды путем отмены обработки объекта XML или другого поддерживаемого формата

Кого касается и что делать

• Уязвимое ПО: WebLogic Server (Oracle) — версии 10.3.6.0, 12.1.3.0, 12.2.1.3.0, 12.2.1.4.0; Fusion Middleware MapViewer (Oracle) — версии 12.2.1.3.0; Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно, 20.12; и ещё 26 позиций
• Что делать: уязвимость устранена производителем — применить исправления: x-stream.github.io, www.oracle.com, www.oracle.com

Сведения об уязвимости

Уязвимое ПО

• WebLogic Server (Oracle) — версии 10.3.6.0, 12.1.3.0, 12.2.1.3.0, 12.2.1.4.0 · сетевое программное средство
• Fusion Middleware MapViewer (Oracle) — 12.2.1.3.0 · сетевое программное средство
• Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно, 20.12 · прикладное ПО информационных систем
• Oracle Endeca Information Discovery Integrator (Oracle) — 3.2.0 · прикладное ПО информационных систем
• WebCenter Portal (Oracle) — версии 11.1.1.9.0, 12.2.1.3.0, 12.2.1.4.0 · сетевое программное средство
• Oracle Retail Order Broker (Oracle) — 15.0 · прикладное ПО информационных систем
• XStream (Xstream Project) — 1.4.10 · прикладное ПО информационных систем
• Oracle Data Integrator (Oracle) — версии 12.2.1.3.0, 12.2.1.4.0, 11.1.1.9.0 · прикладное ПО информационных систем
• Utilities Framework (Oracle) — версии 4.4.0.0.0, 4.2.0.3.0, 4.2.0.2.0, 2.2.0.0.0, от 4.3.0.1.0 до 4.3.0.6.0 включительно · прикладное ПО информационных систем
• Retail Xstore Point of Service (Oracle) — 17.0 · прикладное ПО информационных систем
• Oracle Communications Unified Inventory Management (Oracle) — версии 7.3, 7.4 · прикладное ПО информационных систем
• Oracle Financial Services Market Risk Measurement and Management (Oracle) — 8.0.6 · прикладное ПО информационных систем
• Oracle Endeca Information Discovery Studio (Oracle) — 3.2.0 · прикладное ПО информационных систем
• Oracle Financial Services Asset Liability Management (Oracle) — версии 8.0.7, 8.1.0 · прикладное ПО информационных систем
• Financial Services Profitability Management (Oracle) — версии 8.0.6, 8.0.7, 8.1.0 · прикладное ПО информационных систем
• Financial Services Funds Transfer Pricing (Oracle) — версии 8.0.6, 8.0.7, 8.1.0 · прикладное ПО информационных систем
• Communications MetaSolv Solution (Oracle) — версии 6.3.0, 6.3.1 · прикладное ПО информационных систем
• Financial Services Analytical Applications Infrastructure (Oracle) — от 8.0.6 до 8.1.0 включительно · прикладное ПО информационных систем, сетевое программное средство
• Oracle SD-WAN Edge (Oracle) — 9.0 · прикладное ПО информационных систем
• Communications Diameter Signaling Router (Oracle) — от 8.0.0 до 8.2.2 включительно · ПО сетевого программно-аппаратного средства
• Communications BRM — Elastic Charging Engine (Oracle) — версии 11.3.0.9.0, 12.0.0.3.0 · прикладное ПО информационных систем
• Banking Platform (Oracle) — от 2.4.0 до 2.10.0 включительно · прикладное ПО информационных систем
• Insurance Allocation Manager for Enterprise Profitability (Oracle) — 8.1.0 · прикладное ПО информационных систем
• Oracle Retail Financial Integration (Oracle) — версии 14.1.3, 15.0.3, 16.0.3 · прикладное ПО информационных систем
• Retail Integration Bus (Oracle) — версии 14.1.3, 15.0.3, 16.0.3 · прикладное ПО информационных систем
• Oracle Retail Service Backbone (Oracle) — версии 14.1.3, 15.0.3, 16.0.3 · прикладное ПО информационных систем
• Oracle Real-Time Decision Server (Oracle) — 3.2.1.0 · прикладное ПО информационных систем
• MySQL Enterprise Monitor (Oracle) — до 8.0.22 включительно · сетевое программное средство
• Oracle Business Activity Monitoring (Oracle) — версии 11.1.1.9.0, 12.2.1.3.0 · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

• Для XStream: x-stream.github.io/changes.html
• Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpuapr2020.html; www.oracle.com/security-alerts/cpuoct2020.html; www.oracle.com/security-alerts/cpujan2021.html

Источники

• access.redhat.com/security/cve/cve-2019-10173
• x-stream.github.io/changes.html
• bugzilla.redhat.com/show_bug.cgi
• www.cvedetails.com/cve/CVE-2019-10173/
• www.oracle.com/security-alerts/cpuapr2020.html
• www.oracle.com/security-alerts/cpuoct2020.html
• www.oracle.com/security-alerts/cpujan2021.html