7.8высокая
BDU:2020-01665 (CVE-2019-5427)
Уязвимость функции ConfigXmlUtils библиотеки работы с JDBC-драйверами c3p0, позволяющая нарушителю вызвать отказ в обслуживании
Опубликовано: 2020-04-22
Описание
Уязвимость функции ConfigXmlUtils библиотеки работы с JDBC-драйверами c3p0 связана с ошибками при обработке XML-сущностей. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, вызвать отказ в обслуживании
Затрагиваемое ПО и версии
Retail Returns Management (14.1)Retail Point-of-Service (14.1)Fusion Middleware MapViewer (12.2.1.3.0)Primavera Unifier (16.2)Primavera Unifier (16.1)Fedora (29)Oracle Retail Order Broker (15.0)Oracle Retail Order Broker (16.0)Fedora (30)Enterprise Manager Ops Center (12.4.0)Primavera Unifier (18.8)Retail Customer Management and Segmentation Foundation (18.0)Retail Xstore Point of Service (15.0)Retail Xstore Point of Service (16.0)Retail Xstore Point of Service (17.0)Retail Xstore Point of Service (18.0)Retail Xstore Point of Service (19.0.0)Oracle Communications IP Service Activator (7.4.0)Primavera Unifier (19.12)Primavera Unifier (от 17.7 до 17.12 включительно)Oracle Retail Order Broker (18.0)Retail Integration Bus (15.0)Retail Integration Bus (16.0)Red Hat Fuse (7.0.0)Red Hat Fuse (7.0.1)Red Hat Fuse (7.1.0)Red Hat Fuse (7.1.1)Red Hat Fuse (7.2.0)Red Hat Fuse (7.3.0)Red Hat Fuse (7.3.1)
Способ устранения
Использование рекомендаций:
https://hackerone.com/reports/509315
Использование рекомендаций Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/BFIVX6HOVNLAM7W3SUAMHYRNLCVQSAWR/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/MQ47OFV57Y2DAHMGA5H3JOL4WHRWRFN4/
Использование рекомендаций Red Hat:
https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2019-5427
Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpuapr2020.html
https://www.oracle.com/security-alerts/cpujan2021.html
https://www.oracle.com/security-alerts/cpujul2020.html
https://www.oracle.com/security-alerts/cpuoct2020.html
Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения c3p0 до версии 0.9.1.2-10ubuntu0.20.04.1
Оценка CVSS
| Балл | 7.8 — высокая опасность |
Источники и патчи