VMware Tanzu · Spring Cloud Configuration (Config) Server

CVE-2020-5410

Directory Traversal with spring-cloud-config-server

مورد سوءاستفاده در حملات بالا ۷٫۵ احتمال حمله: ۹۶%

اشتراک‌گذاری

چیست

Spring Cloud Config, versions 2.2.x prior to 2.2.3, versions 2.1.x prior to 2.1.9, and older unsupported versions allow applications to serve arbitrary configuration files through the spring-cloud-config-server module. A malicious user, or attacker, can send a request using a specially crafted URL that can lead to a directory traversal attack.

CISA: Spring, by VMware Tanzu, Cloud Config contains a path traversal vulnerability that allows applications to serve arbitrary configuration files.

چه باید کرد

Apply updates per vendor instructions.

مهلت برای نهادهای فدرال آمریکا: ۱۵ آوریل ۲۰۲۲

افزوده‌شده به فهرست CISA: ۲۵ مارس ۲۰۲۲
منتشرشده: ۲ ژوئن ۲۰۲۰
شدت: بالا ۷٫۵ CVSS 3.1
احتمال حمله در ۳۰ روز آینده (EPSS): ۹۶% در ۰٫۱% بالای همهٔ آسیب‌پذیری‌های شناخته‌شده
نوع ضعف: CWE-23
جزئیات بیشتر: NVD · CVE.org · CISA

همهٔ منابع (1)

https://tanzu.vmware.com/security/cve-2020-5410

آسیب‌پذیری‌های دیگر VMware Tanzu که مورد سوءاستفاده‌اند

افزوده‌شده	آسیب‌پذیری	محصول	شدت	احتمال حمله
۲۵ اوت ۲۰۲۲	Function Remote Code ExecutionCVE-2022-22963	Spring Cloud	بحرانی ۹٫۸	۹۹٫۹%
۲۵ مارس ۲۰۲۲	Property BinderCVE-2018-1273مورد استفادهٔ باج‌افزارها	Spring Data Commons	بحرانی ۹٫۸	۹۷%

همه →

منابع: Known Exploited Vulnerabilities (CISA، مالکیت عمومی)، CVE records (cve.org) و EPSS (FIRST). احتمال حمله برآورد EPSS از این است که کسی در ۳۰ روز آینده برای سوءاستفاده از این آسیب‌پذیری تلاش کند.