Apache Tomcat SSI Printenv utasításának XSS (Cross-site Scripting) sérülékenysége
Angol cím: Apache Tomcat SSI Printenv Command Cross-Site Scripting Vulnerability
CH azonosító: CH-14573
Publikálás dátuma: 2019.06.03.
Utolsó módosítás dátuma: 2019.06.03.
Leírás
A CVE-2019-0221 számon közepes kockázat besorolású sérülékenység került publikálásra, mely a “Tomcat Java Server”-t érinti.
Leírás utolsó módosítása: 2019.06.03.Elemzés leírás
Közepes kockázat besorolású sérülékenységet találtak az Apache Tomcat-ban melyet kihasználva távoli, nem hitelesített támadók Cross-Site Scripting támadást hajthatnak végre a célrendszer ellen. A hiba az érintett szoftverben található SSI printenv utasítás hibájából ered, amely nem ellenőrzi megfelelően a felhasználók által megadott adatokat. A támadók ezt a hibát úgy használhatják ki, hogy meggyőzik a felhasználót, hogy kattintson egy rosszindulatú linkre, amely speciálisan szerkesztett bemeneti értékeket ad át a célrendszernek. A sikeres támadást követően a támadók számára tetszőleges script futtatása válik lehetővé, és így XSS támadást valósíthatnak meg, továbbá a böngészőben tárolt érzékeny információkhoz juthatnak hozzá.
Megoldás:
Frissítsen a legfrissebb verzióra.
Érintett Verziók:
Tomcat Java Server 7.0 (.0, .1, .2, .3, .4, .5, .6, .7, .8, .9, .10, .11, .12, .13, .14, .15, .16, .17, .18, .19, .20, .21, .22, .23, .24, .25, .26, .27, .28, .29, .30, .32, .33, .34, .35, .36, .37, .38, .39, .40, .41, .42, .47, .50, .51, .52, .53, .54, .55, .56, .57, .65, .67, .68, .63, .64, .66, .69, .70, .71, .72, .73, .75, .76, .77, .78, .79, .80, .81, .82, .84, .85, .86, .87, .88, .89, .90, .91, .92, .93) | 8.5 (.0, .1, .2, .3, .4, .5, .6, .7, .8, .9, .10, .11, .12, .13, .15, .22, .23, .24, .27, .28, .29, .30, .31, .32, .33, .35, .36, .37, .38, .39) | 9.0 (.0, .0.M1, .0M6, .0.M9, .0.M11, .0.M13, .0.M17, .0.M15, .0.M18, .0.M20, .0.M21, .1, .2, .4, .5, .6, .7, .8, .9, .10, .11, .12, .13, .14, .15, .16, .17)
Elemzés leírás utolsó módosítása: 2019.06.03.Hatás
CVSS3 Súlyosság és Metrika
Alap pontszám: 6.1 (Közepes)
Vektor: AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:N
Hatás pontszáma: 2.7
Kihasználhatóság pontszáma: 2.8
Támadás Vektora (AV): Hálózat
Támadás komplexitása (AC): Alacsony
Jogosultság Szükséges (PR): Nincs
Felhasználói Interakció (UI): Szükséges
Hatókör (S): Változott
Bizalmasság Hatása (C):
Sértetlenség Hatása (I):
Rendelkezésre állás Hatása (A): Nincs
CVSS2 Súlyosság és Metrika
Alap pontszám: 4.3 (Közepes)
Vektor: (AV:N/AC:M/Au:N/C:N/I:P/A:N)
Hatás alpontszáma: 2.9
Kihasználhatóság alpontszáma: 8.6
Hozzáférés Komplexitása (AC): Közepes
Bizalmasság Hatása (C): Nincs
Sértetlenség Hatása (S): Rész
Rendelkezésre állás Hatása (A):
Hivatkozások
https://tools.cisco.com/security/center/viewAlert.x?alertId=60239
https://nvd.nist.gov/vuln/detail/CVE-2019-0221
