CVE-2017-5638 Уязвимость Apache Struts в продуктах OneSpan

CVE-2017-5638 Уязвимость Apache Struts в продуктах OneSpan

Консультативный ID Васко-SA-20170313-распорки

Номер ревизии 1.2

Дата выпуска 14 марта 2017 г. 08:00 UTC + 1

Последнее обновление 17 марта 2017 г., 12:00 UTC + 1

Резюме

В понедельник, 6 марта 2017 г., проект Apache Struts 2 выпустил бюллетень безопасности об уязвимости удаленного выполнения кода, существующей в Apache Struts 2. 

Этот совет по безопасности содержит информацию о продуктах, которые были затронуты этой уязвимостью, и содержит информацию о наличии исправлений.

Затронутые продукты

Следующие продукты подвержены уязвимости CVE-2017-5638: 

  • IDENTIKEY Authentication Server 3.5 и более поздние версии 
  • Устройство IDENTIKEY 3.5.7.1 и выше.

Затронутые продукты

  • IDENTIKEY Appliance
  • IDENTIKEY сервер аутентификации
  • IDENTIKEY Виртуальное устройство

Описание

Следующее описание уязвимости извлечено из Национальной базы данных уязвимостей NIST: 

«Jakarta Multipart parser в Apache Struts 2 2.3.x до 2.3.32 и 2.5.x до 2.5.10.1 неправильно обрабатывает загрузку файлов, что позволяет удалённым злоумышленникам выполнять произвольные команды через строку # cmd = в созданном HTTP-заголовке Content-Type , как эксплуатируется в дикой природе в марте 2017 года.» 

В области IDENTIKEY Authentication Server и IDENTIKEY Appliance уязвимость присутствует в компоненте веб-администрирования. Уязвимость может быть использована злоумышленником, только если этот пользователь имеет доступ к веб-ресурсам компонента веб-администрирования, таким как, например, страница входа компонента веб-администрирования.

Оценка серьезности

В приведенной ниже таблице указан показатель уязвимости CVSS 2.0 для уязвимости CVE-2017-5638 в продуктах OneSpan.

Базовый балл CVSS: 6,8 (средний)
Вектор доступа Сложность доступа Аутентификация Влияние на конфиденциальность Влияние целостности Влияние доступности
сеть средний Никто частичный

частичный

частичный

 

Исправления продукта

OneSpan выпустил исправления для следующих продуктов: 

  • Сервер аутентификации IDENTIKEY 3.11 / Сервер аутентификации IDENTIKEY 3.11 R2 
  • Сервер аутентификации IDENTIKEY 3.10 / Сервер аутентификации IDENTIKEY 3.10 R2
  • IDENTIKEY сервер аутентификации 3.9 
  • IDENTIKEY Сервер аутентификации 3.8 
  • IDENTIKEY Appliance 3.10.11.x 
  • IDENTIKEY Appliance 3.11.12.x 

Чтобы ограничить возможность использования уязвимости, клиенты должны максимально ограничить доступ к компоненту веб-администрирования IDENTIKEY.

Место расположения

Клиенты с договором на техническое обслуживание могут получить фиксированные версии продукта на портале для клиентов. Клиенты без контракта на техническое обслуживание должны связаться с местным торговым представителем.

Ссылка

https://cwiki.apache.org/confluence/display/WW/S2-045

https://web.nvd.nist.gov/view/vuln/detail?vulnId=CVE-2017-5638

Правовая оговорка

В то время как КАЖДЫЙ РАЗУМНЫЙ УСИЛИЯ СДЕЛАН ДЛЯ ОБРАБОТКИ И ПРЕДОСТАВЛЕНИЯ ТОЧНОЙ ИНФОРМАЦИИ, ВСЕ СОДЕРЖАНИЕ И ИНФОРМАЦИЯ В НАСТОЯЩЕМ ДОКУМЕНТЕ ПРЕДОСТАВЛЯЕТСЯ «КАК ЕСТЬ» И «КАК ДОСТУПНО», БЕЗ КАКИХ-ЛИБО ПРЕДСТАВЛЕНИЯ ИЛИ ПРИГОДНОСТИ ИЛИ В СООТВЕТСТВИИ С ИСПОЛЬЗОВАНИЕМ НИКАКОГО СРОКА ПОЛНОСТЬЮ ИЛИ ПОДХОДА ИЛИ ЛЮБОЙ ГАРАНТИИ, ВКЛЮЧАЯ ГАРАНТИИ ТОВАРНОГО ОБЕСПЕЧЕНИЯ ИЛИ ПРИГОДНОСТИ ДЛЯ ОСОБЕННОГО ИСПОЛЬЗОВАНИЯ ИЛИ ЦЕЛИ. ВЫ ИСПОЛЬЗУЕТЕ ЭТОТ ДОКУМЕНТ, ПРЕДОСТАВЛЯЕТСЯ ЛЮБАЯ ИНФОРМАЦИЯ ИЛИ МАТЕРИАЛЫ, СВЯЗАННЫЕ С ЭТОМ ДОКУМЕНТОМ, НА СВОЙ СТРАХ И РИСК. VASCO оставляет за собой право изменять или обновлять информацию в этом документе в любое время и по своему усмотрению, а также когда новая или дополнительная информация становится доступной. 

Copyright © 2017 VASCO Data Security, Inc., VASCO Data Security International GmbH. Все права защищены.

CVE-2017-5638-Apache-распорки-vulnerabilit Y