RSA BSAFE Micro Edition Suite, prior to 4.1.6.1 (in 4.1.x), and RSA BSAFE Crypto-C Micro Edition versions prior to 4.0.5.3 (in 4.0.x) contai

Затронутые версии

Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.

• dell bsafe4.1.0 и новее · до 4.1.6.1
• dell bsafe crypto-c4.0.0 и новее · до 4.0.5.3
• oracle application testing suite13.3.0.1
• oracle communications analytics12.1.1
• oracle communications ip service activator7.3.0
• oracle communications ip service activator7.4.0
• oracle core rdbms11.2.0.4
• oracle core rdbms12.1.0.2
• oracle core rdbms12.2.0.1
• oracle core rdbms18c
• oracle core rdbms19c
• oracle enterprise manager ops center12.3.3
• oracle enterprise manager ops center12.4.0
• oracle goldengate application adapters12.3.2.1.0
• oracle jd edwards enterpriseone tools9.2
• oracle real user experience insight13.1.2.1
• oracle real user experience insight13.2.3.1
• oracle real user experience insight13.3.1.0
• oracle retail predictive application server15.0.3
• oracle retail predictive application server16.0.3.0

Версии, заявленные вендором

Диапазоны затронутых версий, заявленные назначающей организацией (dell). Не зависят от анализа CPE в NVD и обычно опережают его.

• RSA BSAFE Crypto-C Micro Edition

  • unspecified и новее · до 4.0.5.3затронута

• RSA BSAFE Micro Edition Suite

  • unspecified и новее · до 4.1.6.1затронута

Другие записи с наивысшей оценкой для того же основного продукта.

• CVE-2018-11058RSA BSAFE Micro Edition Suite, versions prior to 4.0.11 (in 4.0.x) and prior to 4.1.6 (in 4.1.x), and RSA BSAFE Crypto-C Micro Edition, vers
  40В плане
• CVE-2015-0537Integer underflow in the base64-decoding implementation in EMC RSA BSAFE Micro Edition Suite (MES) 4.0.x before 4.0.8 and 4.1.x before 4.1.3
  40В плане
• CVE-2018-15769RSA BSAFE Micro Edition Suite versions prior to 4.0.11 (in 4.0.x series) and versions prior to 4.1.6.2 (in 4.1.x series) contain a key manag
  31Наблюдать
• CVE-2018-11054RSA BSAFE Micro Edition Suite, version 4.1.6, contains an integer overflow vulnerability.
  31Наблюдать
• CVE-2015-0536EMC RSA BSAFE Micro Edition Suite (MES) 4.0.x before 4.0.8 and 4.1.x before 4.1.3 and RSA BSAFE SSL-C 2.8.9 and earlier, when client authent
  31Наблюдать
• CVE-2016-0923The client in EMC RSA BSAFE Micro Edition Suite (MES) 4.0.x before 4.0.9 and 4.1.x before 4.1.5 places the weakest algorithms first in a sig
  30Наблюдать

Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).

Первопричина

Код, разбирающий вложенные структуры, не ограничивает глубину или размер. Небольшие входные данные могут привести к несоразмерной вычислительной нагрузке.

Показательный пример этого класса уязвимостей. Это не исходный код вендора; показан ошибочный шаблон и его исправление.

1function expand(node) {2  return node.children.map(expand);3}

1const MAX_DEPTH = 32;2function expand(node, depth = 0) {3  if (depth > MAX_DEPTH) throw new Error("слишком глубоко");4  return node.children.map((c) => expand(c, depth + 1));5}

Контекст атаки

Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.