КиберосноваSGRC
BDU:2019-00323
Средний

BDU:2019-00323: Уязвимость метода RsaKeyPairGenerator::getNumberOfIterations() библиотеки Bouncy Castle, позволяющая нарушителю получить несанкционированный доступ к защищаемым данным

CVSS v37.5
CVSS v25.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-00323

Описание

Уязвимость метода RsaKeyPairGenerator::getNumberOfIterations() библиотеки Bouncy Castle связана с недостатками использования криптографических ключей. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, получить несанкционированный доступ к защищаемым данным с использованием сетевых протоколов (HTTP, HTTPS)

Что делать с BDU:2019-00323

Уязвимость среднего уровня (CVSS 7.5) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
7.5Высокий
Пересчитать →
v2
5.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:N/A:NAV:N/AC:L/Au:N/C:P/I:N/A:N

CWE — тип уязвимости

CWE-310

CVE — международный идентификатор

CVE-2018-1000180
CWE-310
Криптографические ошибки

Общая категория ошибок криптографии: слабые алгоритмы, неправильная генерация ключей, предсказуемые случайные числа.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (58)

ВендорНазваниеВерсияПлатформа
Oracle Corp.API Gateway11.1.2.4.0Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Novell Inc.OpenSUSE Leap42.3Не указана
Oracle Corp.Enterprise Repository12.1.3.0.0Не указана
Oracle Corp.Business Process Management Suite11.1.1.9.0Не указана
Oracle Corp.Business Process Management Suite12.1.3.0.0Не указана
Oracle Corp.Business Process Management Suite12.2.1.3.0Не указана
Oracle Corp.WebLogic Server12.2.1.3Не указана
Oracle Corp.PeopleSoft Enterprise PeopleTools8.55Не указана
Oracle Corp.PeopleSoft Enterprise PeopleTools8.56Не указана
Oracle Corp.PeopleSoft Enterprise PeopleTools8.57Не указана
Legion of the Bouncy Castle Inc.Bouncy Castleдо 1.54 включительноНе указана
Oracle Corp.WebCenter Portal12.1.3.0.0Не указана
Oracle Corp.Managed File Transfer12.2.1.3.0Не указана
Oracle Corp.WebCenter Portal11.1.1.9.0Не указана
Oracle Corp.WebCenter Portal12.2.1.3.0Не указана
Red Hat Inc.Red Hat Virtualization4Не указана
Oracle Corp.Enterprise Manager Base Platform13.2.0.0.0Не указана
Oracle Corp.Enterprise Manager Base Platform13.3.0.0.0Не указана
Oracle Corp.Retail Xstore Point of Service7.0Не указана
Oracle Corp.Managed File Transfer12.1.3.0.0Не указана
Oracle Corp.Enterprise Manager Base Platform12.1.0.5.0Не указана
Oracle Corp.Oracle Utilities Network Management System1.12.0.3Не указана
Oracle Corp.Communications Converged Application Serverдо 7.0.0.1Не указана
Oracle Corp.Communications WebRTC Session Controllerдо 7.2Не указана
Oracle Corp.Communications Application Session Controller3.7.1Не указана
Oracle Corp.Communications Application Session Controller3.8.0Не указана
Oracle Corp.Business Transaction Management12.1.0Не указана
Siemens AGSOA Suite12.1.3.0.0Не указана
Siemens AGSOA Suite12.2.1.3.0Не указана
Red Hat Inc.Red Hat Enterprise Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Red Hat Inc.Red Hat Satellite6.0Не указана
Oracle Corp.Oracle Data Integrator12.2.1.3.0Не указана
Red Hat Inc.Jboss Fuse7Не указана
Oracle Corp.Retail Xstore Point of Service7.1Не указана
Red Hat Inc.OpenShift Application Runtimes1.0Не указана
Red Hat Inc.Red Hat JBoss Fuse6Не указана
Oracle Corp.Enterprise Manager for Fusion Middleware13.2.0.0Не указана
Oracle Corp.Enterprise Manager for Fusion Middleware13.3.0.0Не указана
Red Hat Inc.Red Hat Single Sign-On7.2Не указана
Red Hat Inc.Red Hat JBoss EAP7.1Не указана
Oracle Corp.Banking Platform2.6.0Не указана
Oracle Corp.Banking Platform2.6.1Не указана
Oracle Corp.Banking Platform2.6.2Не указана
Oracle Corp.Communications Diameter Signaling Router8.0.0Не указана
Oracle Corp.Communications Diameter Signaling Router8.1.0Не указана
Oracle Corp.Communications Diameter Signaling Router8.2.0Не указана
Oracle Corp.Communications Diameter Signaling Router8.2.1Не указана
Legion of the Bouncy Castle Inc.Bouncy Castleот 1.54 до 1.59 включительноНе указана

Показано 50 из 58

Среды функционирования (4)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Novell Inc.OpenSUSE Leap42.3Не указана
Red Hat Inc.Red Hat Enterprise Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана

Рекомендации по устранению

Использование рекомендаций: https://www.bouncycastle.org/jira/browse/BJA-694 Для OpenSUSE: https://www.suse.com/security/cve/CVE-2018-1000180/ Для Oracle: https://www.oracle.com/security-alerts/cpuapr2020.html https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html https://www.oracle.com/technetwork/security-advisory/cpujul2019-5072835.html https://www.oracle.com/technetwork/security-advisory/cpuapr2019-5072813.html https://www.oracle.com/technetwork/security-advisory/cpujan2019-5072801.html Для Debian GNU/Linux: https://www.debian.org/security/2018/dsa-4233 https://www.debian.org/security/2018/dsa-4233 Для продуктов Red Hat: https://access.redhat.com/security/cve/CVE-2018-1000180

Источники (1)

SLA ФСТЭК №117

7 дней

по базовой оценке CVSS 7.5

Уточните SLA под вашу среду

Базовый балл 7.5 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Отслеживать (повышенный)

Умеренный риск. Включите в плановый цикл обновлений, следите за изменением EPSS.

EPSS — вероятность эксплуатации3.6%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2018-06-05

Опубликована

2019-01-28

Обновлена

2021-03-23

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2018-1000180 MITRE: CWE-310 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2025-14524
Высокий
7.5

Уязвимость компонента Cryptography APIs средства криптографической защиты Bouncy Castle, позволяющая нарушителю раскрыть

BDU:2025-14523
Средний
5.9

Уязвимость компонентов TLS API и JSSE Provider средства криптографической защиты Bouncy Castle, позволяющая нарушителю р

BDU:2023-08233
Низкий
3.5

Уязвимость средства криптографической защиты Bouncy Castle, существующая из-за недостаточной проверки входных данных, по

BDU:2023-07871
Высокий
6.5

Уязвимость метода .position() библиотеки jQuery UI, позволяющая нарушителю выполнить произвольный код

BDU:2021-00872
Средний
3.7

Уязвимость функции GENERAL_NAME_cmp библиотеки OpenSSL, позволяющая нарушителю вызвать отказ в обслуживании

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0