CVE-2018-1271
Orta
Açıklama
Spring Framework'ün 5.0.5 öncesindeki 5.0 sürümleri, 4.3.15 öncesindeki 4.3 sürümleri ve daha eski desteklenmeyen sürümleri, uygulamaların statik kaynakları (örneğin CSS, JS, resimler) sunmak için Spring MVC'yi yapılandırmasına izin verir. Statik kaynaklar Windows üzerinde bir dosya sisteminden sunulduğunda (classpath veya ServletContext yerine), kötü niyetli bir kullanıcı, dizin gezginliği (directory traversal) saldırısına yol açabilecek özel olarak hazırlanmış bir URL kullanarak istek gönderebilir.
ÖnemOrta
CVSS5.9
İstismar olasılığı—
Ürün
Vmware Spring Framework
Yayın6 Nis 2018
İlk görülme6 Nis 2018
Zayıflık türüCWE-22Dizin geçişi (path traversal)
Nasıl düzeltilir
Güncelleyin
- vmware spring_framework4.3.15, 5.0.5 ya da sonraki bir sürüm
- oracle communications_converged_application_server7.0.0.1 ya da sonraki bir sürüm
- oracle communications_diameter_signaling_router8.3 ya da sonraki bir sürüm
- oracle communications_performance_intelligence_center10.2.1 ya da sonraki bir sürüm
- oracle communications_services_gatekeeper6.1.0.4.0 ya da sonraki bir sürüm
- org.springframework:spring-core5.0.5, 4.3.15 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| vmware spring_framework | 4.3.0 ≤ v < 4.3.15, 5.0.0 ≤ v < 5.0.5 | 4.3.15, 5.0.5 |
| oracle application_testing_suite | 12.5.0.3, 13.1.0.1, 13.2.0.1, 13.3.0.1 | — |
| oracle big_data_discovery | 1.6.0 | — |
| oracle communications_converged_application_server | v < 7.0.0.1 | 7.0.0.1 |
| oracle communications_diameter_signaling_router | v < 8.3 | 8.3 |
| oracle communications_performance_intelligence_center | v < 10.2.1 | 10.2.1 |
| oracle communications_policy_management | 12.5.0 | — |
| oracle communications_services_gatekeeper | v < 6.1.0.4.0 | 6.1.0.4.0 |
| oracle enterprise_manager_ops_center | 12.2.2, 12.3.3 | — |
| oracle goldengate_for_big_data | 12.2.0.1, 12.3.1.1, 12.3.2.1 | — |
| oracle health_sciences_information_manager | 3.0 | — |
| oracle healthcare_master_person_index | 3.0, 4.0 | — |
| oracle insurance_calculation_engine | 11.0.0 ≤ v ≤ 11.3.1, 10.1.1, 10.2, 10.2.1 | — |
| oracle insurance_rules_palette | 10.0, 10.1, 10.2, 11.0, 11.1 | — |
| oracle primavera_gateway | 15.2, 16.2, 17.12 | — |
| oracle rapid_planning | 12.1, 12.2 | — |
| oracle retail_back_office | 14.0, 14.1 | — |
| oracle retail_central_office | 14.0, 14.1 | — |
| oracle retail_customer_insights | 15.0, 16.0 | — |
| oracle retail_integration_bus | 14.0.1, 14.0.2, 14.0.3, 14.0.4, 14.1.1, 14.1.2, 14.1.3, 15.0.0.1, 15.0.1, 15.0.2, 16.0, 16.0.1, 16.0.2 | — |
| oracle retail_open_commerce_platform | 5.3.0, 6.0.0, 6.0.1 | — |
| oracle retail_order_broker | 5.1, 5.2, 15.0, 16.0 | — |
| oracle retail_point-of-sale | 14.0, 14.1 | — |
| oracle retail_predictive_application_server | 14.0, 14.1, 15.0, 16.0 | — |
| oracle retail_returns_management | 14.0, 14.1 | — |
| oracle retail_xstore_point_of_service | 7.1 | — |
| oracle service_architecture_leveraging_tuxedo | 12.1.3.0.0, 12.2.2.0.0 | — |
| oracle tape_library_acsls | 8.4 | — |
| org.springframework:spring-coreMaven | 5.0.0 ≤ v < 5.0.5, v < 4.3.15 | 5.0.5, 4.3.15 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Intelligence 360 paketinde
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.