BDU:2022-00307 (CVE-2020-25638)

Уязвимость интерфейса API JPA Criteria службы запросов Hibernate ORM, позволяющая нарушителю получить доступ к конфиденциальным данным и нарушить их целостность

Опубликовано: 2022-01-20

Описание

Уязвимость интерфейса API JPA Criteria службы запросов Hibernate ORM связана с недостатком механизма защиты структуры от SQL-инъекции. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить доступ к конфиденциальным данным и нарушить их целостность

Затрагиваемое ПО и версии

Debian GNU/Linux (9)Debian GNU/Linux (8)Debian GNU/Linux (10)Astra Linux Special Edition (1.7)Hibernate ORM (до 5.3.20)Hibernate ORM (от 5.4.0 до 5.4.24)ОСОН ОСнова Оnyx (до 2.1)Базис.Virtual Security (от 2.0 до 2.3.0)ОС ОН «Стрелец» (до 16.01.2023)

Способ устранения

Для Hibernate ORM:
использование рекомендаций производителя: https://github.com/hibernate/hibernate-orm/commit/59fede7acaaa1579b561407aefa582311f7ebe78

Для ОС Debian:
использование рекомендаций производителя: https://security-tracker.debian.org/tracker/CVE-2020-25638

Для ОС Astra Linux:
использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17

Для ОСОН Основа:
Обновление программного обеспечения libhibernate3-java до версии 3.6.10.Final-9+deb10u1

Для Базис.Virtual Security:
https://github.com/hibernate/hibernate-orm/commit/59fede7acaaa1579b561407aefa582311f7ebe78

Для ОС ОН «Стрелец»:
Обновление программного обеспечения libhibernate3-java до версии 3.6.10.Final-6+deb9u1

Оценка CVSS

Балл	8.8 — высокая опасность

Источники и патчи

https://bugzilla.redhat.com/show_bug.cgi?id=1881353 https://github.com/hibernate/hibernate-orm/commit/59fede7acaaa1579b561407aefa582311f7ebe78 https://nvd.nist.gov/vuln/detail/CVE-2020-25638 https://security-tracker.debian.org/tracker/CVE-2020-25638 https://wiki.astralinux.ru/astra-linux-se17-bulletin-2021-1126SE17 https://поддержка.нппкт.рф/bin/view/ОСнова/Обновления/2.1/https://github.com/hibernate/hibernate-orm/commit/59fede7acaaa1579b561407aefa582311f7ebe78 https://strelets.net/patchi-i-obnovleniya-bezopasnosti#16012023

Проверьте безопасность своего сайта и почты → Полная проверка домена