BDU:2024-05966 (CVE-2024-29736)

Уязвимость технологии WADL (Web Application Description Language) каркаса для веб-сервисов Apache CXF, позволяющая нарушителю осуществить SSRF-атаку

Опубликовано: 2024-08-02

Описание

Уязвимость технологии WADL (Web Application Description Language) каркаса для веб-сервисов Apache CXF связана c подделкой запросов на стороне сервера в результате некорректного преобразования таблицы стилей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, осуществить SSRF-атаку

Затрагиваемое ПО и версии

РЕД ОС (7.3)CXF (от 3.6.0 до 3.6.4)CXF (от 4.0.0 до 4.0.5)CXF (до 3.5.9)Libercat Certified EE (до 8.0.16-7)Libercat Certified EE (до 9.1.3-2)

Способ устранения

Использование рекомендаций:
https://lists.apache.org/thread/4jtpsswn2r6xommol54p5mg263ysgdw2
https://cxf.apache.org/

Для Libercat Certified:
Обновление ПО до актуальной версии

Для РедОС:
http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Оценка CVSS

Балл	7.8 — высокая опасность

Источники и патчи

https://lists.apache.org/thread/4jtpsswn2r6xommol54p5mg263ysgdw2 https://cxf.apache.org/security-advisories.data/CVE-2024-29736.txt https://www.tenable.com/plugins/nessus/204780 https://vuldb.com/ru/?id.271915 http://repo.red-soft.ru/redos/7.3c/x86_64/updates/

Проверьте безопасность своего сайта и почты → Полная проверка домена