9.3критическая
BDU:2022-06075 (CVE-2013-2134)
Уязвимость реализации класса преобразования выражений OGNL (Object-Graph Navigation Language) программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2022-10-04
Описание
Уязвимость реализации класса преобразования выражений OGNL (Object-Graph Navigation Language) программной платформы Apache Struts связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданного запроса
Затрагиваемое ПО и версии
WebCenter Sites (11.1.1.8.0)Oracle FLEXCUBE Private Banking (2.2.0.1)Oracle FLEXCUBE Private Banking (12.0.1.0)WebCenter Sites (11.1.1.6.1)Struts (от 2.0.0 до 2.3.14.3)Oracle FLEXCUBE Private Banking (1.7)Oracle FLEXCUBE Private Banking (2.0)Oracle FLEXCUBE Private Banking (2.0.1)Oracle FLEXCUBE Private Banking (3.0)Oracle FLEXCUBE Private Banking (12.0.2)MySQL Enterprise Monitor (до 2.3.14 включительно)MySQL Enterprise Monitor (от 3.0.0 до 3.0.4 включительно)IBM Call Center for Commerce (9.5.0)IBM Call Center for Commerce (10.0)
Способ устранения
Использование рекомндаций:
Для Apache Struts:
https://cwiki.apache.org/confluence/display/WW/S2-015
Для программных продуктов IBM Corp.:
https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/
Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpujan2014.html
https://www.oracle.com/security-alerts/cpuoct2013.html
Оценка CVSS
| Балл | 9.3 — критическая опасность |
Источники и патчи