ГрамотаИБ ГрамотаИБ

BDU:2015-00402

Высокий уровень опасности (базовая оценка CVSS 2.0 составляет 7,5) Высокий уровень опасности (базовая оценка CVSS 3.0 составляет 7,1) CVSS 7.099999904632568 · AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:L

Уязвимость реализации метода getClass программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код

Соответствие зарубежным идентификаторам

CVE-2014-0112

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость реализации метода getClass программной платформы Apache Struts связана с недостатками разграничения доступа при использовании класса ParametersInterceptor с параметром class. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код путем отправки специально созданного запроса

Способ устранения

Использование рекомндаций: Для Apache Struts: https://cwiki.apache.org/confluence/display/WW/S2-021 Для Red Hat Inc.: https://access.redhat.com/security/cve/cve-2014-0112 Для продуктов IBM Corp.: http://www-01.ibm.com/support/docview.wss?uid=swg21676706 Для продуктов VMware: https://www.vmware.com/security/advisories/VMSA-2014-0007.html Для продуктов Oracle: https://www.oracle.com/security-alerts/cpuapr2015.html Организационные меры: Следует исключить параметр "class", заменив его на '(.*\.|^|.*|\[('|"))class(\.|('|")]|\[).*' в списке excludeParams как показано ниже: <interceptor-ref name="params"> <param name="excludeParams">(.*\.|^|.*|\[('|"))(c|C)lass(\.|('|")]|\[).*,^dojo\..*,^struts\..*,^session\..*,^request\..*,^application\..*,^servlet(Request|Response)\..*,^parameters\..*,^action:.*,^method:.*</param> </interceptor-ref>

Сведения записи

Дата публикации: 06.07.2016
Класс уязвимости: Уязвимость архитектуры
Статус: Подтверждена производителем
Устранение: Уязвимость устранена
Эксплойт: Данные уточняются

Уязвимое программное обеспечение

ПроизводительНазваниеВерсияПлатформа
Apache Software FoundationStrutsот 2.0.0 до 2.3.16.2Не указана
Broadcom Inc.VMware Aria Automation Orchestratorдо 5.5.2Не указана
Broadcom Inc.VMware Aria Operationsот 5.7.0 до 5.7.3Не указана
Broadcom Inc.VMware Aria Operationsот 5.8.0 до 5.8.2Не указана
IBM Corp.IBM Sterling Field Sales9.0Не указана
IBM Corp.IBM Sterling Field Sales9.1.0Не указана
IBM Corp.IBM Sterling Field Sales9.2.0Не указана
IBM Corp.IBM Sterling Field Sales9.2.1Не указана
IBM Corp.IBM Sterling Field Sales9.3.0Не указана
IBM Corp.IBM Sterling Order Management8.5Не указана
IBM Corp.IBM Sterling Selling and Fulfillment Foundation9.0Не указана
IBM Corp.IBM Sterling Selling and Fulfillment Foundation9.1.0Не указана
IBM Corp.IBM Sterling Selling and Fulfillment Foundation9.2.0Не указана
IBM Corp.IBM Sterling Selling and Fulfillment Foundation9.2.1Не указана
IBM Corp.IBM Sterling Selling and Fulfillment Foundation9.3.0Не указана
IBM Corp.IBM Sterling Web Channel9.0Не указана
IBM Corp.IBM Sterling Web Channel9.1Не указана
Oracle Corp.MySQL Enterprise Monitorдо 2.3.16 включительноНе указана
Oracle Corp.MySQL Enterprise Monitorот 3.0.0 до 3.0.10 включительноНе указана
Oracle Corp.WebCenter Sites11.1.1.6.1Не указана
Oracle Corp.WebCenter Sites11.1.1.8.0Не указана
Red Hat Inc.Red Hat JBoss Fuse7Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.