BDU:2021-02958

Высокий

BDU:2021-02958: Уязвимость библиотеки Apache Commons Collections и программных продуктов Cisco, связанная с восстановлением в памяти недостоверных структур данных, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

CVSS v38.8

CVSS v27.5

Пересчитать в калькуляторе Открыть на bdu.fstec.ru К реестру

Описание

Уязвимость библиотеки Apache Commons Collections и программных продуктов Cisco связана с восстановлением в памяти недостоверных структур данных. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Что делать с BDU:2021-02958

Высокая уязвимость (CVSS 8.8) должна быть устранена в приоритетном порядке. Срок по п. 38 приказа ФСТЭК № 117 — не более 7 календарных дней. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1

8.8Высокий

Пересчитать →

7.5

Только просмотр

AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:P/I:P/A:P

CWE — тип уязвимости

CWE-502

CVE — международный идентификатор

CVE-2015-6420

CWE-502

Десериализация недоверенных данных

CWE-502 — десериализация недоверенных данных: данные из недоверенного источника превращаются в объекты без проверки. Уязвимость возникает там, где сериализованные данные из сети, файла или очереди сообщений разбираются библиотекой десериализации без ограничения допустимых типов. Злоумышленник подбирает последовательность объектов и вызовов, которая при разборе выполняет произвольный код с правами процесса.

Как атакуют и что делать ▾

Сценарий атаки

Приложение десериализует данные из cookie или POST-параметра. Атакующий подставляет сериализованный объект с вредоносной нагрузкой.

Последствия

Выполнение произвольного кода при десериализации (RCE).

Рекомендации

Не десериализуйте данные из ненадёжных источников. Используйте JSON вместо нативной сериализации.

Тактики и техники

Манипулирование структурами данных

Уязвимое ПО (25)

Вендор	Название	Версия	Платформа
Cisco Systems, Inc.	Cisco Prime License Manager	-	Не указана
Cisco Systems, Inc.	Unified Communications Manager	-	Не указана
Cisco Systems, Inc.	Cisco Hosted Collaboration Mediation Fulfillment	-	Не указана
Cisco Systems, Inc.	Unified Contact Center Express	-	Не указана
Cisco Systems, Inc.	Cisco Registered Envelope Service	-	Не указана
Cisco Systems, Inc.	Unified Communications Domain Manager	-	Не указана
Apache Software Foundation	Commons Collections	до 3.2.1 включительно	Не указана
Apache Software Foundation	Commons Collections	4.0	Не указана
Cisco Systems, Inc.	Cisco WebEx Meetings Server	1.0	Не указана
Cisco Systems, Inc.	Cisco WebEx Meetings Server	2.0	Не указана
Cisco Systems, Inc.	Cisco Prime Home	-	Не указана
Cisco Systems, Inc.	Prime Infrastructure	-	Не указана
Cisco Systems, Inc.	Cisco Security Manager	-	Не указана
Cisco Systems, Inc.	Unified Intelligence Center	-	Не указана
Cisco Systems, Inc.	UCS Director	-	Не указана
Cisco Systems, Inc.	Cisco Emergency Responder	-	Не указана
Cisco Systems, Inc.	Cisco MediaSense	-	Не указана
Cisco Systems, Inc.	Cisco Video Distribution Suite for Internet Streaming	-	Не указана
Cisco Systems, Inc.	Cisco Mobility Services Engine	-	Не указана
Cisco Systems, Inc.	Cisco Cloud Email Security	-	Не указана
Cisco Systems, Inc.	Cisco Cloud Web Security	-	Не указана
Cisco Systems, Inc.	Data Center Analytics Framework	-	Не указана
Cisco Systems, Inc.	Cisco Smart Net Total Care	-	Не указана
Oracle Corp.	Hospitality Reporting and Analytics	-	Не указана
Oracle Corp.	Hospitality Gift and Loyalty	-	Не указана

Источники (1)

https://www.ibm.com/blogs/psirt/security-bulletin-multiple-vulnerabilities-in-ib…

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 8.8

Уточните SLA под вашу среду

Базовый балл 8.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации24.2%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2015-12-09

Опубликована

2021-06-10

Обновлена

2026-02-25

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Управляйте уязвимостями, а не таблицами

Платформа КиберОснова импортирует БДУ ФСТЭК и привязывает уязвимости к вашим активам.

Уязвимости → активы → ответственные — цепочка за минуту
PDF-отчёт для ФСТЭК — за один клик

Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2015-6420 MITRE: CWE-502 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК