Suivi KEV › VMware Tanzu

CVE-2018-1273 VMware Tanzu Spring Data Commons : vulnérabilité du liage de propriétés

Critique Vulnérabilité activement exploitée, exploitable massivement : la CISA l’a ajoutée à son catalogue KEV le 25 mars 2022.

• Produit : VMware Tanzu Spring Data Commons
• Ajoutée au catalogue : 25 mars 2022
• Échéance CISA : 15 avril 2022
• Rançongiciels : utilisée dans des campagnes connues
• Faiblesse : CWE-94
• Gravité : CVSS 9,8 (critique)
• Probabilité d’exploitation (EPSS) : 97 %

Spring Data Commons contient une vulnérabilité de liage de propriétés qui peut permettre à un attaquant d'exécuter du code à distance.

Action requise : Appliquer les mises à jour selon les instructions de l'éditeur.

Références : NVD · CISA

Gravité et exploitation

• Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
• Exploitable à distance, par le réseau, sans compte, sans action de la victime.
• Probabilité d’exploitation dans les 30 jours (EPSS) : 97,0 %, parmi les 0,1 % de CVE les plus susceptibles d’être exploitées

Versions concernées

• spring data commons : versions ≤ 1.12.10
• spring data commons : versions ≥ 1.13.0 et ≤ 1.13.10
• spring data commons : versions ≥ 2.0.0 et ≤ 2.0.5
• spring data rest : versions ≥ 3.0.0 et ≤ 3.0.5
• spring data rest : versions ≤ 2.5.10
• spring data rest : versions ≥ 2.6.0 et ≤ 2.6.10
• ignite : versions ≥ 1.0.1 et ≤ 2.5.0
• ignite : 2 versions, de 1.0.0 à 1.0.0-rc3
• org.springframework.data:spring-data-commons (maven) : vulnérable >= 1.13.0, < 1.13.11, corrigé en 1.13.11 — GHSA-4fq3-mr56-cg6r
• org.springframework.data:spring-data-commons (maven) : vulnérable >= 2.0.0, < 2.0.6, corrigé en 2.0.6 — GHSA-4fq3-mr56-cg6r

D’après la NVD et la GitHub Advisory Database. Vérifiez toujours l’avis de l’éditeur, qui fait foi.

Type de faiblesse

• Génération de code non contrôlée (CWE-94) : Le produit construit tout ou partie d'un segment de code en utilisant une entrée influencée par un composant amont, mais il ne neutralise pas ou neutralise incorrectement les éléments spéciaux qui pourraient modifier la syntaxe ou le comportement du segment de code prévu.

Chronologie

1. 11 avril 2018 — Publication de la CVE
2. 25 mars 2022 — Exploitation confirmée : ajout au catalogue KEV de la CISA
3. 15 avril 2022 — Échéance de correction pour les agences fédérales américaines

Références

• Avis de l’éditeur : pivotal.io
• Correctif : oracle.com

Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), GitHub Advisory Database (CC BY 4.0), CWE (MITRE). Données mises à jour automatiquement.

Texte original de la CISA (anglais)

VMware Tanzu Spring Data Commons Property Binder Vulnerability

Spring Data Commons contains a property binder vulnerability which can allow an attacker to perform remote code execution.

Required action: Apply updates per vendor instructions.

← Toutes les failles VMware Tanzu · Suivi KEV