BDU:2022-06727 (CVE-2021-31684)

Уязвимость функции indexOf() класса JSONParserByteArray библиотеки JSON Smart, позволяющая нарушителю вызвать отказ в обслуживании

Опубликовано: 2022-11-14

Описание

Уязвимость функции indexOf() класса JSONParserByteArray библиотеки JSON Smart связана с выходом операции за границы буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, вызвать отказ в обслуживании путем отправки специально созданных веб-запросов

Затрагиваемое ПО и версии

WebLogic Server (12.2.1.3.0)Red Hat JBoss Fuse (7)Red Hat Single Sign-On (7)WebLogic Server (12.2.1.4.0)PeopleSoft Enterprise PeopleTools (8.58)WebLogic Server (14.1.1.0.0)Red Hat build of QuarkusOracle Communications Cloud Native Core Policy (1.14.0)PeopleSoft Enterprise PeopleTools (8.59)Oracle Utilities Framework (4.4.0.3.0)Oracle Utilities Framework (4.4.0.2.0)Oracle Utilities Framework (4.4.0.0.0)JD Edwards EnterpriseOne Orchestrator (до 9.2.6.3 включительно)JSON Smart (от 1.3.0 до 1.3.3)JSON Smart (от 2.4.0 до 2.4.3)OSS Support Tools (до 2.12.42)ОСОН ОСнова Оnyx (до 2.8)

Способ устранения

Использование рекомендаций:
Для JSON Smart:
https://github.com/netplex/json-smart-v1/issues/10
https://github.com/netplex/json-smart-v1/pull/11
https://github.com/netplex/json-smart-v2/issues/67
https://github.com/netplex/json-smart-v2/pull/68

Для программных продуктов Oracle:
https://www.oracle.com/security-alerts/cpujan2022.html
https://www.oracle.com/security-alerts/cpujul2022.html

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2021-31684

Для ОСОН ОСнова Оnyx:
Обновление программного обеспечения json-smart до версии 2.2-2+deb10u1

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://github.com/netplex/json-smart-v1/issues/10 https://github.com/netplex/json-smart-v1/pull/11 https://github.com/netplex/json-smart-v2/issues/67 https://github.com/netplex/json-smart-v2/pull/68 https://www.oracle.com/security-alerts/cpujan2022.html https://www.oracle.com/security-alerts/cpujul2022.html https://nvd.nist.gov/vuln/detail/CVE-2021-31684 https://access.redhat.com/security/cve/cve-2021-31684

Проверьте безопасность своего сайта и почты → Полная проверка домена