КиберосноваSGRC
BDU:2020-01665
Высокий

BDU:2020-01665: Уязвимость функции ConfigXmlUtils библиотеки работы с JDBC-драйверами c3p0, позволяющая нарушителю вызвать отказ в обслуживании

CVSS v37.5
CVSS v27.8
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2020-01665

Описание

Уязвимость функции ConfigXmlUtils библиотеки работы с JDBC-драйверами c3p0 связана с ошибками при обработке XML-сущностей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании

Что делать с BDU:2020-01665

Высокая уязвимость (CVSS 7.5) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.5Высокий
Пересчитать →
v2
7.8
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:HAV:N/AC:L/Au:N/C:N/I:N/A:C

CWE — тип уязвимости

CWE-399
CWE-776

CVE — международный идентификатор

CVE-2019-5427
CWE-399
Ошибки управления ресурсами

CWE-399 — ошибки управления ресурсами: категория MITRE о неверном выделении и освобождении ресурсов. В категорию входят CWE-770 (выделение ресурсов без ограничений), CWE-772 (неосвобождение ресурса после использования) и CWE-410 (недостаточный пул ресурсов); MITRE советует указывать конкретный тип. Последствия — отказ в обслуживании, а при ошибках с памятью — выполнение произвольного кода.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (48)

ВендорНазваниеВерсияПлатформа
Oracle Corp.Retail Returns Management14.1Не указана
Oracle Corp.Retail Point-of-Service14.1Не указана
Oracle Corp.Fusion Middleware MapViewer12.2.1.3.0Не указана
Oracle Corp.Primavera Unifier16.2Не указана
Oracle Corp.Primavera Unifier16.1Не указана
Fedora ProjectFedora29Не указана
Oracle Corp.Oracle Retail Order Broker15.0Не указана
Oracle Corp.Oracle Retail Order Broker16.0Не указана
Fedora ProjectFedora30Не указана
Oracle Corp.Enterprise Manager Ops Center12.4.0Не указана
Oracle Corp.Primavera Unifier18.8Не указана
Oracle Corp.Retail Customer Management and Segmentation Foundation18.0Не указана
Oracle Corp.Retail Xstore Point of Service15.0Не указана
Oracle Corp.Retail Xstore Point of Service16.0Не указана
Oracle Corp.Retail Xstore Point of Service17.0Не указана
Oracle Corp.Retail Xstore Point of Service18.0Не указана
Oracle Corp.Retail Xstore Point of Service19.0.0Не указана
Oracle Corp.Oracle Communications IP Service Activator7.4.0Не указана
Oracle Corp.Primavera Unifier19.12Не указана
Oracle Corp.Primavera Unifierот 17.7 до 17.12 включительноНе указана
Oracle Corp.Oracle Retail Order Broker18.0Не указана
Oracle Corp.Retail Integration Bus15.0Не указана
Oracle Corp.Retail Integration Bus16.0Не указана
Red Hat, Inc.Red Hat Fuse7.0.0Не указана
Red Hat, Inc.Red Hat Fuse7.0.1Не указана
Red Hat, Inc.Red Hat Fuse7.1.0Не указана
Red Hat, Inc.Red Hat Fuse7.1.1Не указана
Red Hat, Inc.Red Hat Fuse7.2.0Не указана
Red Hat, Inc.Red Hat Fuse7.3.0Не указана
Red Hat, Inc.Red Hat Fuse7.3.1Не указана
Red Hat, Inc.Red Hat Fuse7.4.0Не указана
Red Hat, Inc.Red Hat Fuse7.5.0Не указана
Сообщество свободного программного обеспеченияc3p0до 0.9.5.2Не указана
Oracle Corp.Oracle Banking Enterprise Originations2.7.0Не указана
Oracle Corp.Oracle Banking Enterprise Originations2.8.0Не указана
Oracle Corp.Oracle Retail Order Broker19.0Не указана
Oracle Corp.Oracle FLEXCUBE Investor Servicing12.1.0Не указана
Oracle Corp.Oracle FLEXCUBE Investor Servicing12.3.0Не указана
Oracle Corp.Oracle FLEXCUBE Investor Servicing12.4.0Не указана
Oracle Corp.Oracle FLEXCUBE Investor Servicing14.0.0Не указана
Oracle Corp.Oracle FLEXCUBE Investor Servicing14.1.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.0.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.1.0Не указана
Oracle Corp.Oracle Communications Session Route Managerот 8.2.0 до 8.2.2 включительноНе указана
Oracle Corp.Enterprise Manager Base Platform13.2.1.0Не указана
Oracle Corp.Hyperion Infrastructure Technology11.1.2.4Не указана
Oracle Corp.Oracle Communications IP Service Activator7.3.0Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.9Не указана

Среды функционирования (3)

ВендорНазваниеВерсияПлатформа
Fedora ProjectFedora29Не указана
Fedora ProjectFedora30Не указана
АО «НППКТ»ОСОН ОСнова Оnyxдо 2.9Не указана

Рекомендации по устранению

Использование рекомендаций: https://hackerone.com/reports/509315 Использование рекомендаций Fedora: https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/BFIVX6HOVNLAM7W3SUAMHYRNLCVQSAWR/ https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/MQ47OFV57Y2DAHMGA5H3JOL4WHRWRFN4/ Использование рекомендаций Red Hat: https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-5427 Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpuapr2020.html https://www.oracle.com/security-alerts/cpujan2021.html https://www.oracle.com/security-alerts/cpujul2020.html https://www.oracle.com/security-alerts/cpuoct2020.html Для ОСОН ОСнова Оnyx: Обновление программного обеспечения c3p0 до версии 0.9.1.2-10ubuntu0.20.04.1

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации4.9%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-04-22

Опубликована

2020-04-22

Обновлена

2024-01-09

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2019-5427 MITRE: CWE-399 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

 
Высокий
8.8

Уязвимость компонента Enterprise Config Management программной платформы Oracle Enterprise Manager Base Platform, позвол

 
Высокий
8.8

Уязвимость компонента Metadata Plugin программной платформы Oracle Enterprise Manager Base Platform, позволяющая нарушит

 
Высокий
9.1

Уязвимость компонента UI Framework программной платформы Oracle Enterprise Manager Base Platform, позволяющая нарушителю

 
Высокий
8.8

Уязвимость компонента Self Update Framework программной платформы Oracle Enterprise Manager Base Platform, позволяющая н

 
Критический
9.8

Уязвимость компонента Agent Next Gen программной платформы Oracle Enterprise Manager Base Platform, позволяющая нарушите

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Расчёт срока устранения: 24 ч для критических, 7 дней для высоких

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 94 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: импорт БДУ ФСТЭК, CVSS и привязка к активам в одном интерфейсе.

Калькулятор CVSS v4.0