BDU:2021-00681

Уязвимость компонента ChannelSftp.OVERWRITE Java-реализации SSH2 jsch, позволяющая нарушителю оказать воздействие на целостность информации

Опубликовано: 2021-02-11

Описание

Уязвимость компонента ChannelSftp.OVERWRITE Java-реализации SSH2 jsch существует из-за неверного ограничения имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, оказать воздействие на целостность информации

Затрагиваемое ПО и версии

Debian GNU/Linux (8)Oracle Data Integrator (12.2.1.3.0)JD Edwards EnterpriseOne Tools (до 9.2.5.0)Oracle Data Integrator (11.1.1.9.0)jsch (до 0.1.53 включительно)Primavera Gateway (от 17.12.0 до 17.12.10 включительно)

Способ устранения

Использование рекомендаций:
Для jsch:
http://www.jcraft.com/jsch/ChangeLog

Для программных продуктов Oracle Corp.:
https://www.oracle.com/security-alerts/cpujan2021.html
https://www.oracle.com/security-alerts/cpuoct2020.html
https://www.oracle.com/security-alerts/cpuapr2021.html

Для Debian GNU/Linux:
https://lists.debian.org/debian-lts-announce/2020/04/msg00017.html

Оценка CVSS

Балл	5.4 — средняя опасность

Источники и патчи

https://www.exploit-db.com/exploits/40411 http://www.jcraft.com/jsch/ChangeLog https://www.oracle.com/security-alerts/cpujan2021.html https://www.oracle.com/security-alerts/cpuoct2020.html https://lists.debian.org/debian-lts-announce/2020/04/msg00017.html https://www.oracle.com/security-alerts/cpuapr2021.html

Проверьте безопасность своего сайта и почты → Полная проверка домена