BDU:2024-08290

Критический уровень опасности (базовая оценка CVSS 2.0 составляет 10) Критический уровень опасности (базовая оценка CVSS 3.0 составляет 9,8) CVSS 9.800000190734863 · AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Уязвимость прикладного программного интерфейса сервера Skipper микросервисной платформы Spring Cloud Data Flow, позволяющая нарушителю записать файл в любую директорию системы с помощью специально сформированного API-запроса

Соответствие зарубежным идентификаторам

CVE-2024-37084

Отчёты сканеров говорят на языке CVE, требования регуляторов — на языке БДУ. Перевести список из отчёта →

Описание

Уязвимость прикладного программного интерфейса сервера Skipper микросервисной платформы Spring Cloud Data Flow связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, записать файл в любую директорию системы с помощью специально сформированного API-запроса

Способ устранения

Установка обновлений из доверенных источников. В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков. Компенсирующие меры: - использование «белого» списка IP-адресов для ограничения доступа к прикладному программному интерфейсу (API); - использование средств предотвращения вторжений для блокирования попыток эксплуатации уязвимости. Использование рекомендаций: https://spring.io/security/cve-2024-37084

Сведения записи

Дата публикации: 23.10.2024

Класс уязвимости: Уязвимость кода

Статус: Подтверждена производителем

Устранение: Уязвимость устранена

Эксплойт: Существует в открытом доступе

Уязвимое программное обеспечение

Производитель	Название	Версия	Платформа
Pivotal Software Inc.	Spring Cloud Skipper	от 2.11.0 до 2.11.4	Не указана

Чтобы такие записи находились не вручную, ведите реестр программного обеспечения: в личном кабинете уязвимости сопоставляются с вашим ПО, а работы по устранению попадают в план. Завести кабинет →

Источник: Банк данных угроз безопасности информации ФСТЭК России. Данные выгружены 17.08.2026, записей в справочнике — 92920. Справочник не является официальным ресурсом ФСТЭК России: сверяйте сведения с первоисточником.