BDU:2019-04411

Уязвимость библиотеки JSON-lib и компонента camel-xmljson java-фреймворка Apache Camel, позволяющая нарушителю осуществить XXE-атаку

Опубликовано: 2019-12-03

Описание

Уязвимость библиотеки JSON-lib и компонента camel-xmljson java-фреймворка Apache Camel связана с неверным ограничением XML-ссылок на внешние объекты. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, осуществить XXE-атаку

Затрагиваемое ПО и версии

Enterprise Repository (12.1.3.0.0)Camel (до 2.24.0)Enterprise Manager Base Platform (13.3.0.0)Enterprise Manager Base Platform (13.4.0.0)Oracle FLEXCUBE Private Banking (12.0.0)Oracle FLEXCUBE Private Banking (12.1.0)

Способ устранения

Использование рекомендаций:

Обновление java-фреймворка Apache Camel до версии 2.24 или новее;

Для продуктов Oracle:
https://www.oracle.com/security-alerts/cpuoct2019.html
https://www.oracle.com/security-alerts/cpujan2021.html
https://www.oracle.com/security-alerts/cpujul2020.html

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://www.oracle.com/technetwork/topics/security/public-vuln-to-advisory-mapping-093627.html https://www.oracle.com/security-alerts/cpuoct2019.html https://www.oracle.com/security-alerts/cpujan2021.html https://www.oracle.com/security-alerts/cpujul2020.html https://lists.apache.org/thread.html/00118387610522b107cbdcec5369ddd512b576ff0236a02bfca12f44@%3Cusers.camel.apache.org%3E https://lists.apache.org/thread.html/45349f8bd98c1c13a84beddede18fe79b8619ebab99d90f1fb43d7ab@%3Cdev.tamaya.apache.org%3E https://lists.apache.org/thread.html/61601cda2c5f9832184ea14647b0c0589c94126a460c8eb196be1313@%3Ccommits.tamaya.apache.org%3E https://lists.apache.org/thread.html/63d1cec8541befeb59dbed23a6b227bdcca7674aa234fb43354dac82@%3Ccommits.tamaya.apache.org%3E

Проверьте безопасность своего сайта и почты → Полная проверка домена