CVE-2019-17195: Connect2id Nimbus JOSE+JWT before v7.9 can throw various uncaught exceptions while parsing a JWT, which could result in an application crash
Оценка Noroxi
Приоритет: В плане (оценка срочности 42/100)
- Есть публичный код proof-of-concept (GitHub); записей об эксплуатации в реальных атаках нет.
- Вероятность эксплуатации в ближайшие 30 дней: 11,1% (FIRST EPSS); выше, чем у 95,9% записей.
- Может быть вызвана любым, у кого есть доступ через интернет. Учётная запись или пароль не требуются. Действия пользователя не требуются. Особые условия не требуются; воспроизводится стабильно.
- Исправленная версия: com.nimbusds:nimbus-jose-jwt (Maven) 7.9; apache-commons-beanutils (Red Hat:enterprise_linux:7::hypervisor) 0:1.8.3-15.el7_7; apache-commons-beanutils-javadoc (Red Hat:enterprise_linux:7::hypervisor) 0:1.8.3-15.el7_7.
- Упоминается в национальных бюллетенях кибербезопасности Турции (siberguvenlik.gov.tr): 2.
Включите в обычный цикл установки исправлений. Обновитесь до com.nimbusds:nimbus-jose-jwt (Maven) 7.9; apache-commons-beanutils (Red Hat:enterprise_linux:7::hypervisor) 0:1.8.3-15.el7_7; apache-commons-beanutils-javadoc (Red Hat:enterprise_linux:7::hypervisor) 0:1.8.3-15.el7_7 или новее.
Формируется автоматически по данным записи: CVSS (NVD и CNA), CISA KEV и SSVC, FIRST EPSS, источники эксплойтов, исправленные версии. Как мы считаем
Первоисточники: NVD · CVE.org · FIRST EPSS
Connect2id Nimbus JOSE+JWT before v7.9 can throw various uncaught exceptions while parsing a JWT, which could result in an application crash (potential information disclosure) or a potential authentication bypass.
- Опубликовано
- 15 окт. 2019 г.
- Обновлено
- 16 июн. 2026 г.
- EPSS
- 11,1 % · 95-й процентиль
- CWE
- CWE-755
Инструменты для отчёта
Оценка срочности
42
В плане
Включите в обычный цикл установки исправлений.
- CVSS
- 39 / 40 · 9.8 / 10
- CISA KEV
- 0 / 30 · Нет в списке
- EPSS
- 3 / 30 · 11,1 %
Узнайте, когда запись изменится
- Нет в KEV: эксплуатация в реальных атаках не зафиксирована
- Есть PoC, боевого модуля нет
- Исправление выпущено
Если что-то из этого изменится, сообщим в ежедневной сводке.
У вас WordPress? Проверьте сайт бесплатно в WP Lens
Анализ Noroxi
Что это значит для вашей инфраструктуры?
Оценка выше формируется автоматически по данным записи и не знает вашей среды. Наша команда проверит на ваших системах, действительно ли уязвимость эксплуатируема и какой меры достаточно.
Мы используем этот продукт, нужна помощьЗатронутые системы
Затронута ли ваша версия?
Выберите продукт и введите свою версию. Она сравнивается с диапазонами этой записи прямо в браузере и никуда не отправляется.
| Вендор | Продукт | CPE |
|---|---|---|
| connect2id | nimbus jose\+jwt | cpe:2.3:a:connect2id:nimbus_jose\+jwt |
| apache | hadoop | cpe:2.3:a:apache:hadoop |
| oracle | communications cloud native core security edge protection proxy | cpe:2.3:a:oracle:communications_cloud_native_core_security_edge_protection_proxy |
| oracle | communications pricing design center | cpe:2.3:a:oracle:communications_pricing_design_center |
| oracle | data integrator | cpe:2.3:a:oracle:data_integrator |
| oracle | enterprise manager base platform | cpe:2.3:a:oracle:enterprise_manager_base_platform |
| oracle | healthcare data repository | cpe:2.3:a:oracle:healthcare_data_repository |
| oracle | insurance policy administration | cpe:2.3:a:oracle:insurance_policy_administration |
| oracle | jd edwards enterpriseone orchestrator | cpe:2.3:a:oracle:jd_edwards_enterpriseone_orchestrator |
| oracle | jd edwards enterpriseone tools | cpe:2.3:a:oracle:jd_edwards_enterpriseone_tools |
| oracle | peoplesoft enterprise peopletools | cpe:2.3:a:oracle:peoplesoft_enterprise_peopletools |
| oracle | policy automation | cpe:2.3:a:oracle:policy_automation |
и ещё 3
Затронутые версии
Диапазоны версий NVD (для продуктов из каталога). Добавьте продукт в стек с версией, и сопоставление будет по ним.
- apache hadoop3.2.1
- connect2id nimbus jose+jwtдо 7.9
- oracle communications cloud native core security edge protection proxy1.7.0
- oracle communications pricing design center12.0.0.3.0
- oracle data integrator12.2.1.4.0
- oracle enterprise manager base platform13.4.0.0
- oracle healthcare data repository8.1.0
- oracle insurance policy administration11.0 и новее · до 11.3.1 включительно
- oracle jd edwards enterpriseone orchestratorдо 9.2.5.3 включительно
- oracle jd edwards enterpriseone toolsдо 9.2.5.3 включительно
- oracle peoplesoft enterprise peopletools8.58
- oracle peoplesoft enterprise peopletools8.59
- oracle policy automation12.2.0 и новее · до 12.2.22 включительно
- oracle primavera gateway18.8.0 и новее · до 18.8.11 включительно
- oracle primavera gateway19.12.0
- oracle solaris cluster4.0
- oracle weblogic server12.2.1.3.0
- oracle weblogic server12.2.1.4.0
Затронутые пакеты
Данные OSV и GitHub Advisory: экосистема, пакет и диапазон. Сопоставление SBOM использует эту таблицу.
| Экосистема | Пакет | Затронутый диапазон | Исправление |
|---|---|---|---|
| Maven | com.nimbusds:nimbus-jose-jwt | до 7.9 | 7.9 |
| Red Hat:enterprise_linux:7::hypervisor | apache-commons-beanutils | до 0:1.8.3-15.el7_7 | 0:1.8.3-15.el7_7 |
| Red Hat:enterprise_linux:7::hypervisor | apache-commons-beanutils-javadoc | до 0:1.8.3-15.el7_7 | 0:1.8.3-15.el7_7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-backend | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-dbscripts | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-extension-aaa-misc | до 0:1.0.4-1.el7ev | 0:1.0.4-1.el7ev |
| Red Hat:rhev_manager:4.3 | ovirt-engine-extensions-api-impl | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-extensions-api-impl-javadoc | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-health-check-bundler | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-restapi | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-base | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-plugin-cinderlib | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-plugin-ovirt-engine | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-plugin-ovirt-engine-common | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-plugin-vmconsole-proxy-helper | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-setup-plugin-websocket-proxy | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-tools | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-tools-backup | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-vmconsole-proxy-helper | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-webadmin-portal | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-engine-websocket-proxy | до 0:4.3.9.3-0.1.el7 | 0:4.3.9.3-0.1.el7 |
| Red Hat:rhev_manager:4.3 | ovirt-fast-forward-upgrade | до 0:1.0.0-17.el7ev | 0:1.0.0-17.el7ev |
+3
Тот же продукт
connect2id: все записиДругие записи с наивысшей оценкой для того же основного продукта.
- CVE-2023-52428In Connect2id Nimbus JOSE+JWT before 9.37.2, an attacker can cause a denial of service (resource consumption) via a large JWE p2c header val30Наблюдать
- CVE-2017-12974Nimbus JOSE+JWT before 4.36 proceeds with ECKey construction without ensuring that the public x and y coordinates are on the specified curve30Наблюдать
- CVE-2017-12972In Nimbus JOSE+JWT before 4.39, there is no integer-overflow check when converting length values from bytes to bits, which allows attackers 30Наблюдать
Опубликованы до и после этой записи в том же продукте
- ← РаньшеCVE-2017-1297320 авг. 2017 г. · Nimbus JOSE+JWT before 4.39 proceeds improperly after detection of an invalid HMAC in authenticated AES-CBC decryption, which allows attacke12Наблюдать
Исправление
На какую версию обновиться
Версии с исправлением по данным вендора, реестров пакетов и Microsoft. Перед обновлением сверьтесь с бюллетенем вендора.
| Продукт / пакет | Исправленная версия | Источник |
|---|---|---|
| Maven:com.nimbusds:nimbus-jose-jwt | 7.9 | Реестр пакетов (OSV) |
| red hat:apache-commons-beanutils | 0:1.8.3-15.el7_7 · Red Hat:enterprise_linux:7::hypervisor | Реестр пакетов (OSV) |
| red hat:apache-commons-beanutils-javadoc | 0:1.8.3-15.el7_7 · Red Hat:enterprise_linux:7::hypervisor | Реестр пакетов (OSV) |
| red hat:ovirt-engine | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-backend | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-dbscripts | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-extensions-api-impl | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-extensions-api-impl-javadoc | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-health-check-bundler | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-restapi | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-base | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
| red hat:ovirt-engine-setup-plugin-cinderlib | 0:4.3.9.3-0.1.el7 · Red Hat:rhev_manager:4.3 | Реестр пакетов (OSV) |
Статус эксплойта
Есть proof of concept
Существует публичный PoC или сигнатура обнаружения. Знание об эксплойте доступно; не откладывайте установку исправлений.
Доказательство
- Репозиторий PoC на GitHub ×1
Noroxi не размещает код эксплойтов и не даёт на них ссылок. Показываются имена модулей Metasploit и идентификаторы шаблонов Nuclei (имена, не код); записи Exploit-DB и репозитории PoC даются только числом.
| Источник | Тип | Дата |
|---|---|---|
| Репозиторий PoC на GitHub | stars:12 | 2021-02-04 |
Контекст для исследователя
Для пентестеров и исследователей: профиль атаки, расхождение оценок, хронология, коммиты исправлений, авторы, кандидаты в варианты и цепочки, охват bug bounty. Всё выводится из имеющихся данных; без кода эксплойтов.
Хронология
От публикации до сегодня: proof of concept, модуль Metasploit, CISA KEV и запись об исправлении. Даты — как сообщают источники.
- Публикация
- Первый PoC+478 дн.
- Сегодня27 окт. 2026 г.+2569 дн.
Ежедневная оценка FIRST EPSS; записываются только изменения от 0,01 (ступенчатый график).
Ссылки на патчи и коммиты
Коммиты, PR и diff среди источников. Отправная точка для patch-diff и поиска вариантов; это исправления, не эксплойты.
Среди источников нет ссылок на коммит или PR.
Авторы
Все исследователиНашедшие, сообщившие и аналитики, названные в записи CNA. Нажмите имя, чтобы увидеть другие записи исследователя.
В записи CNA нет авторов.
Кандидаты в варианты
Тот же продукт, тот же класс уязвимости, в пределах 18 месяцев. Если патч не закрыл первопричину, родственная ошибка здесь.
Ночной расчёт связей ничего не нашёл.
Кандидаты в цепочки
Обход аутентификации и уязвимость, требующая привилегий, в одном продукте и близко по времени: вместе они могут дать путь без аутентификации.
—
Охват bug bounty
Известной публичной программы нет.
Источник: bounty-targets-data (публичные списки HackerOne, Bugcrowd, Intigriti, YesWeHack).
Национальное уведомление (Управление кибербезопасности Турции / USOM)
Официальные уведомления, ссылающиеся на эту запись; рекомендации — на странице ведомства.
- TR-21-0384 · 5 мая 2021 г.(IBM Güvenlik Bülteni Yayınladı)
- TR-21-0331 · 21 апр. 2021 г.(Oracle Güvenlik Uyarısı Yayınladı)
Технические детали
Условия атаки
- Может быть вызвана любым, у кого есть доступ через интернет.
- Учётная запись или пароль не требуются.
- Действия пользователя не требуются.
- Особые условия не требуются; воспроизводится стабильно.
В случае успеха
- Конфиденциальность
- высокое · данные могут быть прочитаны
- Целостность
- высокое · данные или конфигурация могут быть изменены
- Доступность
- высокое · работа сервиса может быть нарушена
- Вектор атаки
- Сеть
- Сложность атаки
- Низкая
- Требуемые привилегии
- Не требуются
- Взаимодействие с пользователем
- Не требуется
- Область действия
- Не изменяется
- Влияние на конфиденциальность
- Высокое
- Влияние на целостность
- Высокое
- Влияние на доступность
- Высокое
Класс уязвимости (CWE)
CWE-755 · Improper Handling of Exceptional ConditionsВектор CVSS
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
nvd-primary
Контекст атаки
Шаблоны атак MITRE CAPEC и техники ATT&CK для этого класса уязвимости (CWE). Отправная точка для правил обнаружения и threat hunting.
У MITRE нет сопоставления CAPEC/ATT&CK для этого CWE.
Журнал изменений
- Исправление✗ → ✓
Для отслеживаемых записей эти изменения приходят и как уведомления. →
Источники
Показать все источники (ещё 15)Свернуть
- connect2id.com/blog/nimbus-jose-jwt-7-9
- lists.apache.org/thread.html/8768553cda5838f59ee3865cac546e824fa740e82d9dc2a7fc44e80d%40%3Ccommon-dev.hadoop.apache.org%3E
- lists.apache.org/thread.html/e10d43984f39327e443e875adcd4a5049193a7c010e81971908caf41%40%3Ccommon-issues.hadoop.apache.org%3E
- lists.apache.org/thread.html/r2667286c8ceffaf893b16829b9612d8f7c4ee6b30362c6c1b583e3c2%40%3Ccommits.druid.apache.org%3E
- lists.apache.org/thread.html/r33dc233634aedb04fa77db3eb79ea12d15ca4da89fa46a1c585ecb0b%40%3Ccommits.druid.apache.org%3E
- lists.apache.org/thread.html/r35f6301a3e6a56259224786dd9c2a935ba27ff6b494d15a3b66efe6a%40%3Cdev.avro.apache.org%3E
- lists.apache.org/thread.html/r5e08837e695efd36be73510ce58ec05785dbcea077819d8acc2d990d%40%3Ccommits.druid.apache.org%3E
- lists.apache.org/thread.html/rcac26c2d4df22341fa6ebbfe93ba1eff77d2dcd3f6106a1dc1f9ac98%40%3Cdev.avro.apache.org%3E
- www.oracle.com//security-alerts/cpujul2021.html
- www.oracle.com/security-alerts/cpuApr2021.html
- www.oracle.com/security-alerts/cpuapr2020.html
- www.oracle.com/security-alerts/cpuapr2022.html
- www.oracle.com/security-alerts/cpujan2021.html
- www.oracle.com/security-alerts/cpujan2022.html
- www.oracle.com/security-alerts/cpuoct2021.html
Рекомендации вендоров и официальные записи. Ссылки на эксплойты/PoC намеренно исключены.