ГлавнаяБаза уязвимостей БДУ → BDU:2024-02393
10критическая

BDU:2024-02393 (CVE-2024-29131)

Уязвимость функции AbstractListDelimiterHandler.flattenIterator() библиотеки Apache Commons Configuration, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2024-04-01
Описание

Уязвимость функции AbstractListDelimiterHandler.flattenIterator() библиотеки Apache Commons Configuration связана с записью за границами буфера в памяти. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код с помощью специально созданных данных

Затрагиваемое ПО и версии
Debian GNU/Linux (10)openSUSE TumbleweedDebian GNU/Linux (11)Debian GNU/Linux (12)Suse Linux Enterprise Server (15 SP3)SUSE Linux Enterprise Server for SAP Applications (15 SP3)Suse Linux Enterprise Desktop (15 SP3)Suse Linux Enterprise Server (15 SP2)SUSE Linux Enterprise Server for SAP Applications (15 SP2)Suse Linux Enterprise Server (15 SP4)Suse Linux Enterprise Desktop (15 SP2)Suse Linux Enterprise Desktop (15 SP4)Suse Linux Enterprise Server (15 SP2-BCL)SUSE Linux Enterprise Server for SAP Applications (15 SP4)Suse Linux Enterprise Server (15 SP2-LTSS)Suse Linux Enterprise Server (15 SP3-LTSS)Suse Linux Enterprise Server (15 SP3-BCL)Fedora (39)SUSE Linux Enterprise Server for SAP Applications (15 SP5)Suse Linux Enterprise Server (15 SP5)Suse Linux Enterprise Desktop (15 SP5)Fedora (40)Suse Linux Enterprise Server (15 SP4-LTSS)Commons Configuration (от 2.0 до 2.10.1)
Способ устранения

Использование рекомендаций:

Для продуктов Apache Commons Configuration:
https://lists.apache.org/thread/03nzzzjn4oknyw5y0871tw7ltj0t3r37

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2024-29131

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2024-29131.html

Для Fedora:
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/SNKDKEEKZNL5FGCTZKJ6CFXFVWFL5FJ7/
https://lists.fedoraproject.org/archives/list/package-announce@lists.fedoraproject.org/message/YD4AFTIIQW662LUAQRMWS6BBKYSZG3YS/

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://lists.apache.org/thread/03nzzzjn4oknyw5y0871tw7ltj0t3r37https://issues.apache.org/jira/browse/CONFIGURATION-840https://github.com/apache/commons-configuration/commit/56b5c4dcdffbde27870df5a3105d6a5f9b22f554https://github.com/apache/commons-configuration/commit/7d7d399d0598cb0ca5f81891de34694178156dabhttps://safe-surf.ru/upload/VULN-new/VULN.2024-03-25.1.pdfhttps://security-tracker.debian.org/tracker/CVE-2024-29131https://www.cybersecurity-help.cz/vdb/SB2024032169https://www.suse.com/security/cve/CVE-2024-29131.html
Проверьте безопасность своего сайта и почты → Полная проверка домена