22.05.2020

BDU:2021-00728 (CVE-2020-11971) — уязвимость расширения Java Management Extensions (JMX) java-фреймворка Apache Camel

По данным БДУ ФСТЭК России, по состоянию на 16.02.2021.

Высокий — 7.5/10 Устранена

Уязвимость расширения Java Management Extensions (JMX) java-фреймворка Apache Camel связана с недостаточной проверкой вводимых данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемой информации

Кого касается и что делать

Уязвимое ПО: Red Hat JBoss Fuse (Red Hat) — версии 7; Enterprise Manager Base Platform (Oracle) — версии 13.3.0.0, 13.4.0.0; Oracle FLEXCUBE Private Banking (Oracle) — версии 12.0.0, 12.1.0; и ещё 2 позиции
Что делать: уязвимость устранена производителем — применить исправления: camel.apache.org, lists.apache.org, lists.apache.org

Сведения об уязвимости

Идентификаторы	BDU:2021-00728 · CVE-2020-11971
Уровень опасности	Высокий (базовая оценка CVSS 3.1 — 7.5; CVSS 2.0 — 7.8)
Вектор CVSS 3.1	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:N атака по сети, низкая сложность, без прав, без участия пользователя, высокое влияние на конфиденциальность
Наименование ФСТЭК	Уязвимость расширения Java Management Extensions (JMX) java-фреймворка Apache Camel, позволяющая нарушителю получить несанкционированный доступ к защищаемой информации
Даты	Опубликована: 16.02.2021 · Обновлена ФСТЭК: 16.02.2021 · Выявлена: 22.05.2020
Статус уязвимости	Подтверждена производителем (производитель признал уязвимость)
Наличие эксплойта	Данные уточняются
Информация об устранении	Уязвимость устранена (исправление выпущено производителем; способ: обновление программного обеспечения)
Тип ошибки	CWE-20 — недостаточная проверка вводимых данных
Класс уязвимости	Уязвимость кода · Способ эксплуатации: манипулирование ресурсами

Уязвимое ПО

Red Hat JBoss Fuse (Red Hat) — 7 · прикладное ПО информационных систем
Enterprise Manager Base Platform (Oracle) — версии 13.3.0.0, 13.4.0.0 · прикладное ПО информационных систем
Oracle FLEXCUBE Private Banking (Oracle) — версии 12.0.0, 12.1.0 · прикладное ПО информационных систем
Camel (Apache Software Foundation) — версии от 2.22.0 до 2.25.0 включительно, от 3.0.0 до 3.1.0 включительно · прикладное ПО информационных систем
Oracle Communications Diameter Signaling Router (DSR) IDIH (Oracle) — от 8.0.0 до 8.2.2 включительно · прикладное ПО информационных систем

Возможные меры по устранению уязвимости

Обновление. Использование рекомендаций

Для Apache: camel.apache.org/security/CVE-2020-11971.html; lists.apache.org/thread.html/r16f4f9019840bc923e25d1b029f…; lists.apache.org/thread.html/r3d0ae14ca224e69fb1c653f0a5d…; lists.apache.org/thread.html/r45da6abb42a9e6853ec8affdbf5…; lists.apache.org/thread.html/r7968b5086e861da2cf635a7b215…; lists.apache.org/thread.html/r8988311eb2481fd8a87e69cf17f…; lists.apache.org/thread.html/r938dc2ded68039ab747f6d7a121…; lists.apache.org/thread.html/rb0033c4e9dade1fdf2249331406…; lists.apache.org/thread.html/rc907a3d385a9c62416d686608e7…
Для программных продуктов Oracle Corp.: www.oracle.com/security-alerts/cpujan2021.html; www.oracle.com/security-alerts/cpuoct2020.html
Для программных продуктов Red Hat Inc.: access.redhat.com/security/cve/cve-2020-11971

Источники

Автор: ФСТЭК России

Аккаунт для добавления уязвимостей с банка данных угроз безопасности информации ФСТЭК России. Не является оф. аккаунтом ФСТЭК России.

Комментарии: