КиберосноваSGRC
BDU:2020-03569
Средний

BDU:2020-03569: Уязвимость функции mod_rewrite сервера приложений Apache Tomcat, позволяющая нарушителю оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

CVSS v36.1
CVSS v25.8
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2020-03569

Описание

Уязвимость функции mod_rewrite сервера приложений Apache Tomcat связана с переадресацией URL на ненадёжный сайт. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, оказать воздействие на конфиденциальность, целостность и доступность защищаемой информации

Что делать с BDU:2020-03569

Уязвимость среднего уровня (CVSS 6.1) — устраните в рамках планового цикла обновлений. Рекомендуемый срок — 30 дней. Оцените применимость к вашей инфраструктуре через список затронутого ПО.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
6.1Средний
Пересчитать →
v2
5.8
Только просмотр
AV:N/AC:L/PR:N/UI:R/S:C/C:L/I:L/A:NAV:N/AC:M/Au:N/C:P/I:P/A:N

CWE — тип уязвимости

CWE-601

CVE — международный идентификатор

CVE-2020-1927
CWE-601
Открытое перенаправление

Веб-приложение перенаправляет на URL из пользовательского ввода без проверки. Используется для фишинга.

Как атакуют и что делать ▾

Сценарий атаки

URL перенаправления берётся из параметра: /redirect?url=evil.com. Пользователь доверяет домену, но попадает на фишинг.

Последствия

Фишинг: кража учётных данных на поддельной странице, выглядящей как легитимная.

Рекомендации

Используйте white-list разрешённых URL, проверяйте домен, не передавайте URL через параметры.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (27)

ВендорНазваниеВерсияПлатформа
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Canonical Ltd.Ubuntu16.04Не указана
Canonical Ltd.Ubuntu18.04 LTSНе указана
Oracle Corp.Instantis EnterpriseTrack17.1Не указана
Oracle Corp.Instantis EnterpriseTrack17.2Не указана
Oracle Corp.Instantis EnterpriseTrack17.3Не указана
Novell Inc.OpenSUSE Leap15.1Не указана
Canonical Ltd.Ubuntu14.04 ESMНе указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
Oracle Corp.Oracle Communications Element Manager8.1.1Не указана
Oracle Corp.Oracle Communications Element Manager8.2.0Не указана
Oracle Corp.Oracle Communications Session Report Manager8.1.1Не указана
Oracle Corp.Oracle Communications Session Report Manager8.2.0Не указана
Oracle Corp.Oracle Communications Session Route Manager8.1.1Не указана
Oracle Corp.Oracle Communications Session Route Manager8.2.0Не указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu20.10Не указана
Oracle Corp.Oracle Communications Element Manager8.2.1Не указана
Oracle Corp.Oracle Communications Session Report Manager8.2.1Не указана
Oracle Corp.Oracle Communications Session Route Manager8.2.1Не указана
Oracle Corp.Enterprise Manager Ops Center12.4.0.0Не указана
Oracle Corp.Communications Instant Messaging Server10.0.1.4.0Не указана
Apache Software FoundationHTTP Serverот 2.4.0 до 2.4.41 включительноНе указана
АО «ИВК»Альт 8 СП-Не указана
АО «НТЦ ИТ РОСА»ROSA Virtualization2.1Не указана
АО «НТЦ ИТ РОСА»ROSA Virtualization 3.03.0Не указана

Среды функционирования (13)

ВендорНазваниеВерсияПлатформа
Canonical Ltd.Ubuntu14.04 ESMНе указана
Сообщество свободного программного обеспеченияDebian GNU/Linux8Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux10Не указана
ООО «РусБИТех-Астра»Astra Linux Special Edition для «Эльбрус»8.1 «Ленинград»Не указана
Canonical Ltd.Ubuntu20.04 LTSНе указана
Canonical Ltd.Ubuntu20.10Не указана
АО «ИВК»Альт 8 СП-Не указана
АО «НТЦ ИТ РОСА»ROSA Virtualization2.1Не указана
АО «НТЦ ИТ РОСА»ROSA Virtualization 3.03.0Не указана
Сообщество свободного программного обеспеченияDebian GNU/Linux9Не указана
Canonical Ltd.Ubuntu16.04Не указана
Canonical Ltd.Ubuntu18.04 LTSНе указана
Novell Inc.OpenSUSE Leap15.1Не указана

Рекомендации по устранению

Использование рекомендаций: Для программных продуктов Oracle: https://www.oracle.com/security-alerts/cpujul2020.html Для программных продуктов Novell Inc.: https://www.suse.com/security/cve/CVE-2020-1927/ Для Debian GNU/Linux: https://security-tracker.debian.org/tracker/CVE-2020-1927 Для Apache: https://httpd.apache.org/security/vulnerabilities_24.html Для Ubuntu: https://people.canonical.com/~ubuntu-security/cve/2020/CVE-2020-1927.html Для ОС Astra Linux: использование рекомендаций производителя: https://wiki.astralinux.ru/astra-linux-se81-bulletin-20211019SE81 Для ОС Альт 8 СП: установка обновления из публичного репозитория программного средства Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2900 Для программной системы управления средой виртуализации с подсистемой безагентного резервного копирования виртуальных машин «ROSA Virtualization 3.0»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2860 Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2899 Для системы управления средой виртуализации «ROSA Virtualization»: https://abf.rosa.ru/advisories/ROSA-SA-2025-2859

Источники (1)

SLA ФСТЭК №117

30 дней

по базовой оценке CVSS 6.1

Уточните SLA под вашу среду

Базовый балл 6.1 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Приоритетное устранение

Высокий риск эксплуатации. Запланируйте устранение в ближайшем окне обновлений.

EPSS — вероятность эксплуатации56.7%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

Информация

Обнаружена

2020-02-24

Опубликована

2020-07-29

Обновлена

2025-08-19

Эксплойт

Данные уточняются

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

Сертификация ФСТЭК

Продукт сертифицирован ФСТЭК России — сертификат №2557 (действует).

Карточка сертификата в реестре СЗИ

Сертификация подтверждает соответствие требованиям по защите информации на момент выдачи и не гарантирует отсутствие уязвимостей.

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2020-1927 MITRE: CWE-601 Каталог CPE (ФСТЭК) Реестр сертифицированных СЗИ ФСТЭК

Связанные уязвимости

BDU:2026-09233
Средний
7.1

Уязвимость функции setup_vmgexit_scratch() подсистемы KVM ядра операционных систем Linux, позволяющая нарушителю вызвать

BDU:2026-09237
Высокий
9.1

Уязвимость функции check_session_buf_not_used() механизма tls-crypt-v2 программного обеспечения OpenVPN, позволяющая нар

BDU:2026-08912
Высокий
6.5

Уязвимость функции gf_isom_add_track_kind() файла isomedia/isom_write.c упаковщика MP4Box мультимедийной платформы GPAC,

BDU:2026-08426
Средний
7.1

Уязвимость функции tcf_pedit_act() модуля act_pedit ядра операционных систем Linux, позволяющая нарушителю вызвать отказ

BDU:2026-08414
Средний
7.8

Уязвимость функции bond_setup_by_slave() компонента bonding driver ядра операционных систем Linux, позволяющая нарушител

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0