BDU:2019-04413 (CVE-2018-8032) — уязвимость платформы веб-сервисов Apache Axis
По данным БДУ ФСТЭК России, по состоянию на 21.11.2023.
Средний — 6.1/10 Устранена
Уязвимость платформы веб-сервисов Apache Axis существует из-за непринятия мер по защите структуры веб-страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить XSS-атаки
Кого касается и что делать
- Уязвимое ПО: Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно; Tuxedo (Oracle) — версии 12.1.1.0, 12.1.3.0; PeopleSoft Enterprise PeopleTools (Oracle) — версии 8.56, 8.57; и ещё 11 позиций
- Что делать: уязвимость устранена производителем — применить исправления: www.oracle.com
Сведения об уязвимости
| Идентификаторы | BDU:2019-04413 · CVE-2018-8032 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 6.1; CVSS 2.0 — 4.3) |
| Вектор CVSS 3.1 | AV:N/ атака по сети, низкая сложность, без прав, требуется участие пользователя, затрагивает смежные компоненты, ограниченное влияние на конфиденциальность и целостность |
| Наименование ФСТЭК | Уязвимость платформы веб-сервисов Apache Axis, существующая из-за непринятия мер по защите структуры веб-страницы, позволяющая нарушителю осуществить XSS-атаки |
| Даты | Опубликована: 03.12.2019 · Обновлена ФСТЭК: 21.11.2023 · Выявлена: 08.07.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-79 — непринятие мер по защите структуры веб-страницы (или «Межсайтовая сценарная атака») |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: инъекция |
Уязвимое ПО
- Primavera Unifier (Oracle) — версии 16.2, 16.1, 18.8, 19.12, от 17.7 до 17.12 включительно · прикладное ПО информационных систем
- Tuxedo (Oracle) — версии 12.1.1.0, 12.1.3.0 · прикладное ПО информационных систем
- PeopleSoft Enterprise PeopleTools (Oracle) — версии 8.56, 8.57 · прикладное ПО информационных систем
- Oracle Retail Order Broker (Oracle) — версии 15.0, 16.0, 18.0 · прикладное ПО информационных систем
- Instantis EnterpriseTrack (Oracle) — версии 17.1, 17.2, 17.3 · прикладное ПО информационных систем
- Oracle Hospitality Guest Access (Oracle) — версии 4.2.0, 4.2.1 · прикладное ПО информационных систем
- Oracle Policy Automation Connector for Siebel (Oracle) — 10.4.6 · прикладное ПО информационных систем
- Axis (Apache Software Foundation) — от 1.0 до 1.4 включительно · прикладное ПО информационных систем
- PeopleSoft Enterprise HCM Human Resources (Oracle) — 9.2 · прикладное ПО информационных систем
- Oracle Communications Design Studio (Oracle) — версии 7.3.4.3.0, 7.3.5.5.0, 7.4.0.4.0, 7.4.1.1.0 · прикладное ПО информационных систем
- Oracle Agile PLM Framework (Oracle) — 9.3.3 · прикладное ПО информационных систем
- Oracle FLEXCUBE Private Banking (Oracle) — версии 12.0.0, 12.1.0 · прикладное ПО информационных систем
- Oracle Real-Time Decision Server (Oracle) — 3.2.1.0 · прикладное ПО информационных систем
- ОС ОН «Стрелец» (АО «Концерн ВНИИНС») — до 16.01.2023 · операционная система
Возможные меры по устранению уязвимости
Обновление. Обновление платформы Web-сервисов Apache Axis до версии 1.7.9 или новее
- Для продуктов Oracle: www.oracle.com/security-alerts/cpuoct2019.html
- Для ОС ОН «Стрелец»: Обновление программного обеспечения axis до версии 1.4-25strelets0
