BDU:2022-05819 (CVE-2016-4003)

Уязвимость реализации класса URLDecoder программной платформы Java Runtime Environment и средства разработки приложений Java Development Kit, позволяющая нарушителю проводить межсайтовые сценарные атаки

Опубликовано: 2022-09-21

Описание

Уязвимость реализации класса URLDecoder программной платформы Java Runtime Environment и средства разработки приложений Java Development Kit связана с использованием однобайтового кодирования страницы. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, проводить межсайтовые сценарные атаки

Затрагиваемое ПО и версии

IBM Call Center for Commerce (9.5.0)IBM Call Center for Commerce (10.0)Struts (от 2.0.0 до 2.3.28)Java Runtime Environment (до 1.8)Java Development Kit (до 1.8)

Способ устранения

Использование рекомндаций:
Для программных продуктов Oracle:
https://www.oracle.com/java/technologies/downloads/
https://www.java.com/releases/

Для Apache Struts:
https://git-wip-us.apache.org/repos/asf?p=struts.git;h=72471d7
https://cwiki.apache.org/confluence/display/WW/S2-028
https://issues.apache.org/jira/browse/WW-4507

Для программных продуктов IBM Corp.:
https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/

Оценка CVSS

Балл	6.4 — средняя опасность

Источники и патчи

https://git-wip-us.apache.org/repos/asf?p=struts.git;h=72471d7 https://cwiki.apache.org/confluence/display/WW/S2-028 https://issues.apache.org/jira/browse/WW-4507 https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/https://nvd.nist.gov/vuln/detail/CVE-2016-4003

Проверьте безопасность своего сайта и почты → Полная проверка домена