BDU:2022-06343 (CVE-2012-0392)

Уязвимость реализации класса CookieInterceptor программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код

Опубликовано: 2022-10-20

Описание

Уязвимость реализации класса CookieInterceptor программной платформы Apache Struts связана с недостатками разграничения доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданного HTTP-заголовка cookie

Затрагиваемое ПО и версии

IBM Call Center for Commerce (9.5.0)IBM Call Center for Commerce (10.0)Struts (до 2.3.18)

Способ устранения

Использование рекомендаций:
Для Apache Struts:
https://cwiki.apache.org/confluence/display/WW/S2-008
https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.11

Для IBM Call Center for Commerce:
https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/

Оценка CVSS

Балл	6.8 — высокая опасность

Источники и патчи

https://cwiki.apache.org/confluence/display/WW/S2-008 https://cwiki.apache.org/confluence/display/WW/Version+Notes+2.3.11 https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/https://www.exploit-db.com/exploits/18329 https://lists.immunityinc.com/pipermail/dailydave/2012-January/000011.html http://archives.neohapsis.com/archives/bugtraq/2012-01/0031.html https://www.sec-consult.com/files/20120104-0_Apache_Struts2_Multiple_Critical_Vulnerabilities.txt https://access.redhat.com/security/cve/cve-2012-0392

Проверьте безопасность своего сайта и почты → Полная проверка домена