КиберосноваSGRC
BDU:2019-04006
Критический

BDU:2019-04006: Уязвимость подкомпонента ADF Faces компонента Oracle JDeveloper and ADF программной платформы Oracle Fusion Middleware, позволяющая нарушителю получить полный контроль над приложением

CVSS v39.8
CVSS v210.0
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2019-04006

Описание

Уязвимость подкомпонента ADF Faces компонента Oracle JDeveloper and ADF программной платформы Oracle Fusion Middleware связана с недостатками контроля доступа. Эксплуатация уязвимости может позволить нарушителю, действующему удалённо, получить полный контроль над приложением с помощью сетевого HTTP протокола

Что делать с BDU:2019-04006

Критическая уязвимость (CVSS 9.8) требует немедленного реагирования. По приказу ФСТЭК №117 срок устранения — 24 часа. Проверьте наличие патча у вендора и установите его на все затронутые системы. При невозможности патча — изолируйте уязвимый компонент и примените компенсирующие меры.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
9.8Критический
Пересчитать →
v2
10.0
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAV:N/AC:L/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-284

CVE — международный идентификатор

CVE-2019-2904

Тактики и техники

Нарушение авторизации

Уязвимое ПО (47)

ВендорНазваниеВерсияПлатформа
Oracle Corp.Fusion Middleware11.1.1.9.0Не указана
Oracle Corp.Fusion Middleware12.1.3.0.0Не указана
Oracle Corp.Fusion Middleware12.2.1.3.0Не указана
Oracle Corp.Enterprise Repository11.1.1.7.0Не указана
Oracle Corp.Business Process Management Suite12.2.1.3.0Не указана
Oracle Corp.Hyperion Planning11.1.2.4Не указана
Oracle Corp.Application Testing Suite13.3.0.1Не указана
Oracle Corp.Application Testing Suite12.5.0.3Не указана
Oracle Corp.Application Testing Suite13.1.0.1Не указана
Oracle Corp.Application Testing Suite13.2.0.1Не указана
Oracle Corp.Oracle Retail Clearance Optimization Engine14.0.5Не указана
Oracle Corp.Oracle Hyperion Financial Close Management11.1.2.4Не указана
Oracle Corp.Oracle Retail Assortment Planning16.0.3Не указана
Oracle Corp.Banking Platform2.5.0Не указана
Oracle Corp.Banking Platform2.6.0Не указана
Oracle Corp.Banking Platform2.6.1Не указана
Oracle Corp.Banking Platform2.6.2Не указана
Oracle Corp.Banking Enterprise Product Manufacturing2.7.0Не указана
Oracle Corp.Banking Enterprise Product Manufacturing2.8.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.1Не указана
Oracle Corp.Banking Platform2.4.0Не указана
Oracle Corp.Banking Platform2.4.1Не указана
Oracle Corp.Banking Platform2.7.0Не указана
Oracle Corp.Banking Platform2.7.2Не указана
Oracle Corp.Banking Platform2.7.1Не указана
Oracle Corp.Banking Platform2.9.0Не указана
Oracle Corp.Clinical5.2Не указана
Oracle Corp.Oracle Health Sciences Data Management Workbench2.4Не указана
Oracle Corp.Oracle Health Sciences Data Management Workbench2.5Не указана
Oracle Corp.Oracle Retail Assortment Planning15.0.3Не указана
Oracle Corp.Oracle Retail Markdown Optimization13.4Не указана
Oracle Corp.Oracle Retail Sales Audit15.0.3Не указана
Oracle Corp.Oracle Retail Sales Audit16.0.2Не указана
Oracle Corp.Oracle Communications Service Broker6.0Не указана
Oracle Corp.Oracle Communications Service Broker6.1Не указана
Oracle Corp.Oracle Communications Services Gatekeeper6.0Не указана
Oracle Corp.Oracle Communications Services Gatekeeper6.1Не указана
Oracle Corp.Oracle Banking Enterprise Collections2.7.0Не указана
Oracle Corp.Oracle Banking Enterprise Collections2.8.0Не указана
Oracle Corp.Oracle Banking Enterprise Originations2.7.0Не указана
Oracle Corp.Oracle Banking Enterprise Originations2.8.0Не указана
Oracle Corp.Oracle Financial Services Revenue Management and Billing2.6Не указана
Oracle Corp.Oracle Financial Services Revenue Management and Billing2.7Не указана
Oracle Corp.Oracle Financial Services Revenue Management and Billing2.8Не указана
Oracle Corp.Business Process Management Suite12.2.1.4.0Не указана
Oracle Corp.Communications Diameter Signaling Routerот 8.0.0.0 до 8.4.0.5 включительноНе указана

Рекомендации по устранению

Для программных продуктов Oracle Corp.: https://www.oracle.com/security-alerts/cpujan2020.html https://www.oracle.com/security-alerts/cpuapr2020.html https://www.oracle.com/security-alerts/cpuoct2020.html

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 9.8

Уточните SLA под вашу среду

Базовый балл 9.8 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации14.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2019-10-15

Опубликована

2019-11-11

Обновлена

2020-11-17

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2019-2904 MITRE: CWE-284 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2023-07871
Высокий
6.5

Уязвимость метода .position() библиотеки jQuery UI, позволяющая нарушителю выполнить произвольный код

BDU:2022-03804
Высокий
8.1

Уязвимость компонента org.apache.commons.dbcp2.datasources.PerUserPoolDataSource библиотеки Jackson-databind проекта Fas

BDU:2024-00113
Высокий
8.1

Уязвимость библиотеки jackson-databind, связанная с восстановлением в памяти недостоверных данных, позволяющая нарушител

BDU:2022-05602
Высокий
7.5

Уязвимость компонента DOMDeserializer библиотеки FasterXML jackson-databind, позволяющая нарушителю проводить XXE-атаки

BDU:2021-00774
Высокий
7.5

Уязвимость реализации класса fixcrlf утилиты автоматизации процесса сборки программного продукта Apache Ant, позволяющая

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0