Уязвимость удаленного выполнения кода в компоненте Apache Struts 2 в продуктах OneSpan

Консультативный ID onespan-са-20180828-распорки

Номер ревизии 1,1

Дата выпуска 28 августа 2018 г., 17:00 UTC + 1

Последнее обновление 31 августа 2018 г. 09:30 UTC + 1

Резюме

22 августа 2018 года проект Apache Struts выпустил бюллетень по безопасности об уязвимости удаленного выполнения кода, существующей в Apache Struts 2. Эта уязвимость называется CVE-2018-11776. Эта уязвимость может позволить удаленному злоумышленнику, не прошедшему проверку подлинности, выполнить произвольный код в целевой системе.

Это руководство по безопасности содержит информацию о продуктах OneSpan, которые были затронуты этой уязвимостью, а также информацию о доступности исправлений.

Затронутые продукты

Следующие продукты OneSpan подвержены уязвимости CVE-2018-11776:

  • Сервер аутентификации 3.8 и выше
  • Устройство 3.8.9.0 и позже

Затронутые продукты

  • IDENTIKEY Appliance
  • IDENTIKEY сервер аутентификации
  • IDENTIKEY Виртуальное устройство

Описание

Уязвимость существует в Apache Struts, поскольку уязвимое программное обеспечение недостаточно проверяет вводимые пользователем данные, что позволяет использовать результаты без значения пространства имен и использовать теги URL без значения или действия. В тех случаях, когда действия верхнего уровня или конфигурации также не имеют пространства имен или пространства имен с подстановочными знаками, злоумышленник может воспользоваться этой уязвимостью, отправив запрос, который отправляет вредоносный ввод в уязвимое приложение для обработки. В случае успеха злоумышленник может выполнить произвольный код в контексте безопасности уязвимого приложения в целевой системе.

Чтобы воспользоваться этой уязвимостью, злоумышленник должен отправить запрос, который отправляет вредоносный ввод в целевую систему, что усложняет эксплуатацию в средах, ограничивающих доступ к сети из ненадежных источников.

В области сервера аутентификации, устройства и виртуального устройства OneSpan эта уязвимость присутствует в компоненте веб-администрирования. Уязвимость может быть использована злоумышленником только в том случае, если этот пользователь имеет доступ к веб-ресурсам компонента веб-администрирования, таким как страница входа компонента веб-администрирования.

Оценка серьезности

В приведенной ниже таблице указан показатель уязвимости CVSS 2.0 для уязвимости CVE-2018-11776 в продуктах OneSpan.

Базовый балл CVSS: 6,8 (средний)
Вектор доступа Сложность доступа

Аутентификация

Влияние на конфиденциальность Влияние целостности Влияние доступности
сеть средний Никто частичный частичный частичный

 

Исправления продукта

OneSpan выпускает исправления для следующих продуктов:

  • Сервер аутентификации 3.8.2, 3.9.1, 3.10.1 R2, 3.11.1 R2, 3.12.2 R3, 3.13.1 R2, 3.14.1 R2, 3.15, 3.16
  • Устройство 3.8.9.0, 3.8.9.1, 3.9.10.1, 3.9.10.0, 3.10.11.0, 3.11.12.1, 3.11.12.0, 3.12.13.0, 3.12.13.1, 3.13.14.0, 3.14.15.0

OneSpan выпускает исправления для следующих продуктов: Устройство 3.16.

Ожидается, что исправления для сервера аутентификации будут доступны к концу недели, 27 августа 2018 года. Ожидается, что исправления и исправления для Appliance появятся к концу недели 3 сентября 2018 года.

Чтобы ограничить возможность использования уязвимости, клиенты должны максимально ограничить доступ к компоненту веб-администрирования. 

Место расположения

Клиенты с договором на техническое обслуживание могут получить фиксированные версии продукта на портале для клиентов. Клиенты без контракта на техническое обслуживание должны связаться с местным торговым представителем.

Ссылка

[1] https://cwiki.apache.org/confluence/display/WW/S2-057

[2] https://nvd.nist.gov/vuln/detail/CVE-2018-11776

Правовая оговорка

В то время как КАЖДЫЙ РАЗУМНЫЙ УСИЛИЯ СДЕЛАН ДЛЯ ОБРАБОТКИ И ПРЕДОСТАВЛЕНИЯ ТОЧНОЙ ИНФОРМАЦИИ, ВСЕ СОДЕРЖАНИЕ И ИНФОРМАЦИЯ В НАСТОЯЩЕМ ДОКУМЕНТЕ ПРЕДОСТАВЛЯЮТСЯ «КАК ЕСТЬ» И «КАК ДОСТУПНО», БЕЗ КАКИХ-ЛИБО ПРЕДСТАВЛЕНИЯ ИЛИ ПРИГОДНОСТИ ИЛИ В СООТВЕТСТВИИ С ИСПОЛЬЗОВАНИЕМ ПРАВИЛЬНОГО РЕКОМЕНДАЦИИ ПОЛНОСТЬЮ ИЛИ ПРИГОДНОСТИ ИЛИ ЛЮБОЙ ГАРАНТИИ, ВКЛЮЧАЯ ГАРАНТИИ ТОВАРНОГО ОБЕСПЕЧЕНИЯ ИЛИ ПРИГОДНОСТИ ДЛЯ ОСОБЕННОГО ИСПОЛЬЗОВАНИЯ ИЛИ ЦЕЛИ. ВЫ ИСПОЛЬЗУЕТЕ ЭТОТ ДОКУМЕНТ, ПРЕДОСТАВЛЯЕТСЯ ЛЮБАЯ ИНФОРМАЦИЯ ИЛИ МАТЕРИАЛЫ, СВЯЗАННЫЕ С ЭТОМ ДОКУМЕНТОМ, НА СВОЙ СТРАХ И РИСК. ONESPAN оставляет за собой право изменять или обновлять информацию в этом документе в любое время и по своему усмотрению, а также когда новая или дополнительная информация становится доступной.

Copyright © 2018 OneSpan North America, Inc. Все права защищены.

Уязвимость удаленного выполнения кода в компоненте Apache Struts 2 в продукте OneSpan s