CVE-2018-1272
Təsvir
Spring Framework-ün 5.0.5-dən əvvəlki 5.0 versiyaları, 4.3.15-dən əvvəlki 4.3 versiyaları və daha köhnə dəstəklənməyən versiyalar multipart sorğuları üçün klient tərəfli dəstək təmin edir. Spring MVC və ya Spring WebFlux server tətbiqi (server A) uzaq klientdən giriş məlumatı aldıqda və sonra həmin məlumatdan istifadə edərək digər serverə (server B) multipart sorğusu göndərdikdə, hücuma məruz qala bilər. Bu zaman server A-dan gələn sorğunun məzmununa əlavə multipart daxil edilir ki, bu da server B-nin gözlədiyi hissə üçün yanlış dəyərdən istifadə etməsinə səbəb olur. Əgər hissənin məzmunu istifadəçi adını və ya istifadəçi rollarını təmsil edirsə, bu, imtiyazların yüksəldilməsinə səbəb ola bilər.
Necə düzəltmək olar
- vmware spring_framework4.3.15, 5.0.5 və ya daha yeni versiya
- oracle communications_converged_application_server7.0.0.1 və ya daha yeni versiya
- oracle communications_diameter_signaling_router8.3 və ya daha yeni versiya
- oracle communications_performance_intelligence_center10.2.1 və ya daha yeni versiya
- oracle communications_services_gatekeeper6.1.0.4.0 və ya daha yeni versiya
- org.springframework:spring-core4.3.15, 5.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| vmware spring_framework | 4.3.0 ≤ v < 4.3.15, 5.0 ≤ v < 5.0.5 | 4.3.15, 5.0.5 |
| oracle application_testing_suite | 12.5.0.3, 13.1.0.1, 13.2.0.1, 13.3.0.1 | — |
| oracle big_data_discovery | 1.6.0 | — |
| oracle communications_converged_application_server | v < 7.0.0.1 | 7.0.0.1 |
| oracle communications_diameter_signaling_router | v < 8.3 | 8.3 |
| oracle communications_performance_intelligence_center | v < 10.2.1 | 10.2.1 |
| oracle communications_services_gatekeeper | v < 6.1.0.4.0 | 6.1.0.4.0 |
| oracle enterprise_manager_ops_center | 12.2.2, 12.3.3 | — |
| oracle goldengate_for_big_data | 12.2.0.1, 12.3.1.1, 12.3.2.1 | — |
| oracle health_sciences_information_manager | 3.0 | — |
| oracle healthcare_master_person_index | 3.0, 4.0 | — |
| oracle insurance_calculation_engine | 10.1.1, 10.2, 10.2.1 | — |
| oracle insurance_rules_palette | 10.0, 10.1, 10.2, 11.0, 11.1 | — |
| oracle primavera_gateway | 15.2, 16.2, 17.12 | — |
| oracle retail_back_office | 14.0, 14.1 | — |
| oracle retail_central_office | 14.0, 14.1 | — |
| oracle retail_customer_insights | 15.0, 16.0 | — |
| oracle retail_integration_bus | 14.0.1, 14.0.2, 14.0.3, 14.0.4, 14.1.1, 14.1.2, 14.1.3, 15.0.0.1, 15.0.1, 15.0.2, 16.0, 16.0.1, 16.0.2 | — |
| oracle retail_open_commerce_platform | 5.3.0, 6.0.0, 6.0.1 | — |
| oracle retail_order_broker | 5.1, 5.2, 15.0, 16.0 | — |
| oracle retail_point-of-sale | 14.0, 14.1 | — |
| oracle retail_predictive_application_server | 14.0, 14.1, 15.0, 16.0 | — |
| oracle retail_returns_management | 14.0, 14.1 | — |
| oracle service_architecture_leveraging_tuxedo | 12.1.3.0.0, 12.2.2.0.0 | — |
| oracle tape_library_acsls | 8.4 | — |
| org.springframework:spring-coreMaven | v < 4.3.15, 5.0.0 ≤ v < 5.0.5 | 4.3.15, 5.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.