ID do comunicado O que outras pessoas estão dizendo
Número de revisão 1.1
Data de lançamento 28 de agosto de 2018 17:00 UTC + 1
Última atualização 31 de agosto de 2018 às 09:30 UTC + 1
Resumo
Em 22 de agosto de 2018, o projeto Apache Struts emitiu um boletim de segurança sobre uma vulnerabilidade de Execução Remota de Código existente no Apache Struts 2. Esta vulnerabilidade é conhecida como CVE-2018-11776. A vulnerabilidade pode permitir que um invasor remoto não autenticado execute código arbitrário em um sistema de destino.
Este comunicado de segurança contém informações sobre os produtos OneSpan que foram afetados pela vulnerabilidade e informações sobre a disponibilidade de hotfixes.
Produtos impactados
Os seguintes produtos OneSpan são afetados pela vulnerabilidade CVE-2018-11776:
- Servidor de autenticação 3.8 e posterior
- Dispositivo 3.8.9.0 e posterior
Produtos afetados
- IDENTIKEY Appliance
- Servidor de autenticação IDENTIKEY
- Dispositivo virtual IDENTIKEY
Descrição
A vulnerabilidade existe no Apache Struts porque o software afetado valida insuficientemente as entradas fornecidas pelo usuário, permitindo o uso de resultados sem valor de espaço para nome e o uso de tags de URL sem valor ou ação. Nos casos em que as ações ou configurações superiores também não possuem espaço para nome ou espaço para nome curinga, um invasor pode explorar essa vulnerabilidade enviando uma solicitação que envia entrada maliciosa ao aplicativo afetado para processamento. Se for bem-sucedido, o invasor poderá executar código arbitrário no contexto de segurança do aplicativo afetado no sistema de destino.
Para explorar essa vulnerabilidade, o invasor deve enviar uma solicitação que envie informações maliciosas ao sistema de destino, dificultando a exploração em ambientes que restringem o acesso à rede de fontes não confiáveis.
No escopo do servidor de autenticação, dispositivo e dispositivo virtual do OneSpan, a vulnerabilidade está presente no componente de administração da web. A vulnerabilidade só pode ser explorada por um usuário mal-intencionado se ele tiver acesso aos recursos da web do componente de administração da web, como a página de login do componente de administração da web.
Pontuação de gravidade
A tabela abaixo indica a pontuação de vulnerabilidade CVSS 2.0 da vulnerabilidade CVE-2018-11776 nos produtos da OneSpan.
| Pontuação Base CVSS: 6.8 (médio) | |||||
| Vetor de acesso | Complexidade de acesso |
Autenticação |
Impacto da confidencialidade | Impacto na integridade | Impacto na disponibilidade |
| Rede | Médio | Nenhum | Parcial | Parcial | Parcial |
Correções do produto
O OneSpan está lançando hotfixes para os seguintes produtos:
- Servidor de autenticação 3.8.2, 3.9.1, 3.10.1 R2, 3.11.1 R2, 3.12.2 R3, 3.13.1 R2, 3.14.1 R2, 3.15, 3.16
- Dispositivo 3.8.9.0, 3.8.9.1, 3.9.10.1, 3.9.10.0, 3.10.11.0, 3.11.12.1, 3.11.12.0, 3.12.13.0, 3.12.13.1, 3.13.14.0, 3.14.15.0
O OneSpan está lançando patches para os seguintes produtos: Dispositivo 3.16.
Espera-se que os hotfixes para o Authentication Server estejam disponíveis até o final da semana de 27 de agosto de 2018. Prevê-se que os hotfixes e patches para o Appliance estejam disponíveis até o final da semana de 3 de setembro de 2018.
Para limitar a capacidade de exploração da vulnerabilidade, os clientes devem limitar o acesso ao componente de administração da Web o máximo possível.
Localização
Os clientes com um contrato de manutenção podem obter lançamentos fixos de produtos no Portal do Cliente. Clientes sem contrato de manutenção devem entrar em contato com o representante de vendas local.
Referência
[1] https://cwiki.apache.org/confluence/display/WW/S2-057.
[2] https://nvd.nist.gov/vuln/detail/CVE-2018-11776.
Contrato
SEMPRE QUE ESFORÇO RAZOÁVEL É FEITO PARA PROCESSAR E FORNECER INFORMAÇÕES PRECISAS, TODO O CONTEÚDO E AS INFORMAÇÕES DESTE DOCUMENTO SÃO FORNECIDAS "TAL COMO ESTÃO" E "CONFORME DISPONÍVEIS", SEM QUALQUER REPRESENTAÇÃO OU ENDORSEMENT E SEM QUALQUER GARANTIA EXPRESSA OU IMPLÍCITA COMPETÊNCIA OU ADEQUAÇÃO, OU QUALQUER GARANTIA, INCLUINDO AS GARANTIAS DE COMERCIALIZAÇÃO OU ADEQUAÇÃO A UM USO OU FINS ESPECÍFICOS. A UTILIZAÇÃO DESTE DOCUMENTO, QUALQUER INFORMAÇÃO FORNECIDA OU MATERIAIS LIGADOS DESTE DOCUMENTO É POR SUA CONTA E RISCO. A ONESPAN RESERVA-SE O DIREITO DE ALTERAR OU ATUALIZAR AS INFORMAÇÕES DESTE DOCUMENTO, A QUALQUER MOMENTO E A SEU DISCRETO, E QUANDO SE TIVER DISPONIBILIDADE DE INFORMAÇÕES NOVAS OU ADICIONAIS.
Direitos autorais © 2018 OneSpan North America, Inc. Todos os direitos reservados.
Vulnerabilidade de execução remota de código no componente Apache Struts 2 no produto OneSpan s