КиберосноваSGRC
BDU:2022-05999
Высокий

BDU:2022-05999: Уязвимость реализации механизма сопоставления действий DefaultActionMapper программной платформы Apache Struts, позволяющая нарушителю выполнить произвольный код

CVSS v310.0
CVSS v29.3
Пересчитать в калькулятореОткрыть на bdu.fstec.ruК реестру

Детали уязвимости BDU:2022-05999

Описание

Уязвимость реализации механизма сопоставления действий DefaultActionMapper программной платформы Apache Struts связана с недостаточной очисткой входных данных при обработке параметров action:, redirect: и redirectAction: prefix. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Что делать с BDU:2022-05999

Высокая уязвимость (CVSS 10.0) должна быть устранена в приоритетном порядке. Рекомендуемый срок — 7 дней по приказу ФСТЭК №117. Проверьте список затронутого ПО ниже и запланируйте обновление.

Используйте калькулятор CVSS для пересчёта с учётом вашей среды. Автоматизируйте мониторинг через модуль БДУ ФСТЭК в КиберОснова.

Оценка критичности (CVSS)

v3.1
10.0Критический
Пересчитать →
v2
9.3
Только просмотр
AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:HAV:N/AC:M/Au:N/C:C/I:C/A:C

CWE — тип уязвимости

CWE-20

CVE — международный идентификатор

CVE-2013-2251
CWE-20
Недостаточная проверка ввода

Программа не проверяет или неправильно проверяет входные данные. Базовая причина большинства инъекций и переполнений.

Как атакуют и что делать ▾

Сценарий атаки

Атакующий отправляет неожиданный ввод: отрицательные числа, спецсимволы, сверхдлинные строки — программа обрабатывает их без проверки.

Последствия

Базовая причина большинства инъекций, переполнений и логических ошибок.

Рекомендации

Валидируйте все входные данные по white-list, ограничивайте длину, тип и диапазон значений.

Тактики и техники

Манипулирование ресурсами

Уязвимое ПО (38)

ВендорНазваниеВерсияПлатформа
Oracle Corp.WebCenter Sites11.1.1.8.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking2.2.0.1Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.0.1.0Не указана
Oracle Corp.WebCenter Sites11.1.1.6.1Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking1.7Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking2.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking2.0.1Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking3.0Не указана
Oracle Corp.Oracle FLEXCUBE Private Banking12.0.2Не указана
Oracle Corp.MySQL Enterprise Monitorдо 2.3.14 включительноНе указана
Oracle Corp.MySQL Enterprise Monitorот 3.0.0 до 3.0.4 включительноНе указана
IBM Corp.IBM Call Center for Commerce9.5.0Не указана
IBM Corp.IBM Call Center for Commerce10.0Не указана
Cisco Systems Inc.Cisco Identity Services Engineдо 1.0.4.573-6Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.1.0.665 до 1.1.0.665-4Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.1.1.268 до 1.1.1.268-6Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.1.2.145 до 1.1.2.145-9Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.1.3.124 до 1.1.3.124-4Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.1.4.218 до 1.1.4.218-4Не указана
Cisco Systems Inc.Cisco Identity Services Engineот 1.2.0.0 до 1.2.0.899Не указана
Cisco Systems Inc.Cisco Unified Contact Center Enterpriseот 10.5 до 10.5(1)Не указана
Cisco Systems Inc.Cisco Unified Contact Center Enterpriseот 8.5(4) до 8.5(4)ES37Не указана
Cisco Systems Inc.Cisco Unified Contact Center Enterpriseот 9.0(4) до 9.0(4)ES39Не указана
Cisco Systems Inc.Cisco Unified Contact Center Enterpriseот 9.0(3) до 9.0(3)ES13Не указана
Cisco Systems Inc.Cisco Media Experience Engine (MXE) 3500 Seriesдо 3.3.2Не указана
Apache Software FoundationStrutsот 2.0.0 до 2.3.15 включительноНе указана
Fujitsu LimitedInterstage Business Process Manager Analytics12.0Не указана
Fujitsu LimitedInterstage Business Process Manager Analytics12.1Не указана
Oracle Corp.Siebel Apps - E-Billing6.1Не указана
Oracle Corp.Siebel Apps - E-Billing6.1.1Не указана
Oracle Corp.Siebel Apps - E-Billing6.2Не указана
Cisco Systems Inc.Cisco Unified SIP Proxy Softwareдо 8.5(5)Не указана
Cisco Systems Inc.Cisco Unified Contact Center Enterpriseот 10.0(1) до 10.0(1)ES10Не указана
Cisco Systems Inc.Cisco Packaged Contact Center Enterpriseот 10.5 до 10.5(1)Не указана
Cisco Systems Inc.Cisco Packaged Contact Center Enterpriseот 8.5(4) до 8.5(4)ES37Не указана
Cisco Systems Inc.Cisco Packaged Contact Center Enterpriseот 9.0(4) до 9.0(4)ES39Не указана
Cisco Systems Inc.Cisco Packaged Contact Center Enterpriseот 9.0(3) до 9.0(3)ES13Не указана
Cisco Systems Inc.Cisco Packaged Contact Center Enterpriseот 10.0(1) до 10.0(1)ES10Не указана

Рекомендации по устранению

Использование рекомендаций: Для Apache Struts: https://cwiki.apache.org/confluence/display/WW/S2-016 Для программных продуктов IBM: https://www.ibm.com/blogs/psirt/security-bulletin-ibm-call-center-and-apache-struts-struts-upgrade-strategy-various-cves-see-below/ Для программных продуктов Cisco: http://tools.cisco.com/security/center/content/CiscoSecurityAdvisory/cisco-sa-20131023-struts2 Для программных продуктов Fujitsu: https://www.fujitsu.com/global/support/products/software/security/products-f/interstage-bpm-analytics-201301e.html Для программных продуктов Oracle: https://www.oracle.com/security-alerts/cpujan2014.html https://www.oracle.com/security-alerts/cpujul2015.html

Источники (1)

SLA ФСТЭК №117

24 часа

по базовой оценке CVSS 10.0

Уточните SLA под вашу среду

Базовый балл 10.0 не учитывает инфраструктуру. Задайте Environmental-метрики (CR/IR/AR) в калькуляторе — SLA пересчитается автоматически.

Пересчитать CVSS с учётом среды

Threat Intelligence

SSVC: Немедленно устранить

Эксплуатируется или вероятность крайне высока. Приоритет №1 — устраните в первую очередь.

EPSS — вероятность эксплуатации94.3%

Вероятность эксплуатации в 30 дней (FIRST EPSS)

CISA KEV — активно эксплуатируется

Включена в каталог Known Exploited Vulnerabilities. Устранение — приоритет.

Информация

Обнаружена

2013-07-09

Опубликована

2022-09-30

Обновлена

2024-09-24

Эксплойт

Существует в открытом доступе

Исправление

Уязвимость устранена

Статус

Подтверждена производителем

КиберОснова

Управляйте уязвимостями, а не таблицами

Платформа автоматически подтягивает новые записи из БДУ, привязывает к вашим активам и считает SLA по приказу №117 — без ручного мониторинга.

  • Уязвимости → активы → ответственные — цепочка за минуту
  • SLA-таймеры и эскалация — дедлайны не горят
  • PDF-отчёт для ФСТЭК — за один клик
Попробовать бесплатно

Внешние ресурсы

БДУ ФСТЭК NVD: CVE-2013-2251 MITRE: CWE-20 Каталог CPE (ФСТЭК)

Связанные уязвимости

BDU:2026-01763
Средний
4.8

Уязвимость программных продуктов Cisco Unified Contact Center Enterprise и Cisco Packaged Contact Center Enterprise, свя

BDU:2026-01760
Средний
4.8

Уязвимость программных продуктов Cisco Unified Contact Center Enterprise и Cisco Packaged Contact Center Enterprise, свя

BDU:2026-01758
Средний
4.8

Уязвимость веб-интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE) и Cisco ISE Pa

BDU:2026-01757
Средний
4.8

Уязвимость веб-интерфейса платформы управления политиками соединений Cisco Identity Services Engine (ISE), позволяющая н

BDU:2026-00377
Средний
4.9

Уязвимость платформы управления политиками соединений Cisco Identity Services Engine (ISE) и Cisco ISE Passive Identity

Источник: Банк данных угроз безопасности информации ФСТЭК России (bdu.fstec.ru). Банк данных создан в соответствии с Приказом ФСТЭК России от 16.02.2015 №9. Данные общедоступны и предоставляются на безвозмездной основе. Оператор: ФАУ «ГНИИИ ПТЗИ ФСТЭК России».

Что добавляет КиберОснова к данным БДУ ФСТЭК

CVSS v4.0 + калькулятор

Единственный бесплатный калькулятор CVSS v4.0 на русском языке

SLA по приказу №117

Автоматический расчёт сроков устранения: 24ч, 7дн, 30дн

EPSS + CISA KEV

Оценка вероятности эксплуатации и статус активных атак

Полнотекстовый поиск

По названию, CVE, CWE, описанию — русский и английский

Связанные уязвимости

Автоматический подбор по затронутому ПО

Мобильная версия

Адаптивный интерфейс для работы с телефона и планшета

Поиск по 85 000+ уязвимостямМодуль БДУ ФСТЭК

Автоматизируйте управление уязвимостями

КиберОснова SGRC: БДУ ФСТЭК + CVSS + SLA по приказу №117 в одном интерфейсе.

Калькулятор CVSS v4.0