BDU:2020-04697 (CVE-2019-3805) — уязвимость Java-сервера приложений WildFly
По данным БДУ ФСТЭК России, по состоянию на 15.10.2020.
Средний — 5.5/10 Устранена
Уязвимость Java-сервера приложений WildFly вызвана ошибками синхронизации при использовании общего ресурса. Эксплуатация уязвимости может позволить нарушителю завершать произвольные процессы в системе в результате изменения в файле PID в /var/run/jboss-eap/
Кого касается и что делать
- Уязвимое ПО: JBoss Enterprise Application Platform (Red Hat) — версии 7, 6; WildFly (Red Hat) — версии до 16.0.0
- Что делать: уязвимость устранена производителем — применить исправления (см. меры ниже)
Сведения об уязвимости
| Идентификаторы | BDU:2020-04697 · CVE-2019-3805 |
| Уровень опасности | Средний (базовая оценка CVSS 3.1 — 5.5; CVSS 2.0 — 4.7) |
| Вектор CVSS 3.1 | AV:L/ нужен локальный доступ, низкая сложность, нужны права пользователя, без участия пользователя, высокое влияние на доступность |
| Наименование ФСТЭК | Уязвимость Java-сервера приложений WildFly, вызванная ошибками синхронизации при использовании общего ресурса, позволяющая нарушителю завершать произвольные процессы в системе |
| Даты | Опубликована: 15.10.2020 · Обновлена ФСТЭК: 15.10.2020 · Выявлена: 18.12.2018 |
| Статус уязвимости | Подтверждена производителем (производитель признал уязвимость) |
| Наличие эксплойта | Данные уточняются |
| Информация об устранении | Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения) |
| Тип ошибки | CWE-362 — одновременное выполнение с использованием общего ресурса с неправильной синхронизацией («Ситуация гонки»); CWE-364 — состояние гонки в обработчике сигнала |
| Класс уязвимости | Уязвимость кода · Способ эксплуатации: манипулирование ресурсами |
Уязвимое ПО
- JBoss Enterprise Application Platform (Red Hat) — версии 7, 6 · прикладное ПО информационных систем
- WildFly (Red Hat) — до 16.0.0 · прикладное ПО информационных систем
Возможные меры по устранению уязвимости
Обновление. Обновление Java-сервера приложений WildFly до актуальной версии
