9.4критическая
BDU:2024-02278 (CVE-2022-37865)
Уявимость пакетного менеджера Apache Ivy, связанная с неверным ограниченим имени пути к каталогу с ограниченным доступом, позволяющая нарушителю записать произвольные файлы в файловую систему
Опубликовано: 2024-03-25
Описание
Уявимость пакетного менеджера Apache Ivy связана с неверным ограниченим имени пути к каталогу с ограниченным доступом. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записать произвольные файлы в файловую систему
Затрагиваемое ПО и версии
Red Hat Enterprise Linux (7)Jboss Fuse (7)Red Hat Software CollectionsopenSUSE TumbleweedRed Hat JBoss Data Grid (7)SUSE Linux Enterprise Module for Development Tools (15 SP2)Red Hat Integration Camel KРЕД ОС (7.3)OpenSUSE Leap (15.4)SUSE Linux Enterprise Server for SAP Applications (15 SP3)SUSE Manager Proxy (4.2)SUSE Manager Server (4.2)SUSE Enterprise Storage (7)SUSE Linux Enterprise Server for SAP Applications (15 SP2)SUSE Manager Server (4.1)SUSE Manager Proxy (4.1)SUSE Linux Enterprise High Performance Computing (15 SP2-LTSS)SUSE Linux Enterprise Module for Development Tools (15 SP3)SUSE Manager Retail Branch Server (4.1)Suse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP4)SUSE Linux Enterprise Server for SAP Applications (15 SP4)SUSE Manager Retail Branch Server (4.2)Suse Linux Enterprise Server (15 SP2-LTSS)SUSE Manager Retail Branch Server (4.3)SUSE Manager Proxy (4.3)SUSE Manager Server (4.3)SUSE Linux Enterprise High Performance Computing (15 SP4)SUSE Enterprise Storage (7.1)SUSE Linux Enterprise Module for Development Tools (15 SP4)
Способ устранения
Использование рекомендаций:
Для программных продуктов Apache Software Foundation: https://lists.apache.org/thread/gqvvv7qsm2dfjg6xzsw1s2h08tbr0sdy
Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/YDIFDL5WSBEKBUVKTABUFDDD25SBNJLS/
Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/CVE-2022-37865
Для Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-37865.html
Для РЕД ОС:
https://redos.red-soft.ru/support/secure/uyazvimosti/mnozhestvennye-uyazvimosti-apache-ivy-cve-2022-37866-cve-2022-37865/?sphrase_id=592511
Компенсирующие меры для программных продуктов JetBrains:
- отключение/удаление неиспользуемых учетных записей пользователей;
- минимизация пользовательских привилегий;
- использование антивирусных средств защиты;
- контроль действий пользователей.
Оценка CVSS
| Балл | 9.4 — критическая опасность |
Источники и патчи