Oncommand Api Services
Уязвимости
20
Эксплуатируемые
0
Макс. CVSS
8.1
Макс. EPSS
0.8904
Распределение по критичности
Критический
0
Высокий
17
Средний
3
Низкий
0
Затронутые диапазоны версий
≤ 1.2≤ 2.0
Также сопоставлено как (исходные строки): snapcenter,storage_automation_store,snapmanager,active_iq_unified_manager,oncommand_api_services,oncommand_workflow_automation,steelstore_cloud_integrated_storage,snap_creator_framework,oncommand api services,service_level_manager,oncommand_insight
Топ уязвимостей
CVE-2021-20190Обнаружена уязвимость в jackson-databind версий до 2.9.10.7. FasterXML неправильно обрабатывает взаимодействие между гаджетами сериализации и типизацией. Наибольшая угроза от этой уязвимости заключается в конфиденциальности и целостности данных, а также в доступности системы.
CVE-2020-8840FasterXML jackson-databind 2.0.0–2.9.10.2 не имеет определенной блокировки xbean-reflect/JNDI, как продемонстрировано org.apache.xbean.propertyeditor.JndiConverter.
CVE-2019-20330FasterXML jackson-databind 2.x до версии 2.9.10.2 не имеет определенной блокировки net.sf.ehcache.
CVE-2017-5645В Apache Log4j 2.x до 2.8.2, при использовании TCP-сокета или UDP-сокета для получения сериализованных событий журнала из другого приложения, можно отправить специально созданную двоичную полезную нагрузку, которая при десериализации может выполнить произвольный код.
BDU:2024-00181Уязвимость библиотеки jackson-databind проекта FasterXML связана с восстановлением в памяти недостоверных данных. Эксплуатация уязвимостей может позволить нарушителю, действующему удаленно, выполнить произвольный код
CVE-2017-15518Все версии OnCommand API Services до 2.1 и NetApp Service Level Manager до 1.0RC4 регистрируют пароль учетной записи привилегированного пользователя базы данных. Всем пользователям настоятельно рекомендуется перейти на исправленную версию. Поскольку затронутый пароль изменяется во время каждого обновления/установки, никаких дальнейших действий не требуется.
CVE-2020-25649Обнаружена уязвимость в FasterXML Jackson Databind, где не была обеспечена надлежащая защита от расширения сущностей. Эта уязвимость позволяет проводить атаки XML External Entity (XXE). Наибольшая угроза от этой уязвимости заключается в целостности данных.
CVE-2020-11612ZlibDecoders в Netty 4.1.x до версии 4.1.46 допускают неограниченное выделение памяти при декодировании байтового потока ZlibEncoded. Злоумышленник может отправить большой байтовый поток ZlibEncoded на сервер Netty, заставляя сервер выделить всю свою свободную память одному декодеру.
CVE-2019-17359ASN.1 парсер в Bouncy Castle Crypto (aka BC Java) 1.63 может вызвать большую попытку выделения памяти и, как следствие, ошибку OutOfMemoryError через специально созданные ASN.1 данные. Это исправлено в версии 1.64.
CVE-2019-17267Проблема с полиморфной типизацией была обнаружена в FasterXML jackson-databind до 2.9.10. Это связано с net.sf.ehcache.hibernate.EhcacheJtaTransactionManagerLookup.
CVE-2019-16943В FasterXML jackson-databind 2.0.0–2.9.10 обнаружена проблема полиморфной типизации. Когда типизация по умолчанию включена (глобально или для определенного свойства) для внешне доступной конечной точки JSON и в classpath службы есть jar-файл p6spy (3.8.6), и злоумышленник может найти конечную точку службы RMI для доступа, можно заставить службу выполнить вредоносную полезную нагрузку. Эта проблема существует из-за неправильной обработки com.p6spy.engine.spy.P6DataSource.
CVE-2019-16942В FasterXML jackson-databind 2.0.0–2.9.10 обнаружена проблема полиморфной типизации. Когда типизация по умолчанию включена (глобально или для определенного свойства) для внешне доступной конечной точки JSON и в classpath службы есть jar-файл commons-dbcp (1.4), и злоумышленник может найти конечную точку службы RMI для доступа, можно заставить службу выполнить вредоносную полезную нагрузку. Эта проблема существует из-за неправильной обработки org.apache.commons.dbcp.datasources.SharedPoolDataSource и org.apache.commons.dbcp.datasources.PerUserPoolDataSource.
CVE-2019-16335Проблема полиморфной типизации была обнаружена в FasterXML jackson-databind до 2.9.10. Это связано с com.zaxxer.hikari.HikariDataSource. Это уязвимость, отличная от CVE-2019-14540.
CVE-2019-14893Уязвимость была обнаружена в FasterXML jackson-databind во всех версиях до 2.9.10 и 2.10.0, где разрешалась полиморфная десериализация вредоносных объектов с использованием гаджета xalan JNDI при использовании в сочетании с методами обработки полиморфных типов, такими как `enableDefaultTyping()` или когда @JsonTypeInfo использует `Id.CLASS` или `Id.MINIMAL_CLASS` или любым другим способом, которым ObjectMapper.readValue может создавать экземпляры объектов из небезопасных источников. Злоумышленник мог использовать эту уязвимость для выполнения произвольного кода.
CVE-2019-14540В FasterXML jackson-databind до версии 2.9.10 обнаружена проблема polymorphic typing. Это связано с com.zaxxer.hikari.HikariConfig.
CVE-2020-10683dom4j до версий 2.0.3 и 2.1.x до 2.1.3 по умолчанию разрешает внешние DTD и внешние сущности, что может привести к атакам XXE. Тем не менее, существует популярная внешняя документация от OWASP, показывающая, как включить безопасное, не являющееся по умолчанию поведение в любом приложении, использующем dom4j.
CVE-2018-14550В стороннем декодировании PNM, связанном с libpng 1.6.35, обнаружена проблема. Это переполнение буфера на основе стека в функции get_token в pnm2png.c в pnm2png.
CVE-2017-8919NetApp OnCommand API Services до версии 1.2P3 регистрирует пароль LDAP BIND, когда пользователь пытается войти в систему с использованием REST API, что позволяет удаленным аутентифицированным пользователям получать конфиденциальную информацию о пароле через неуказанные векторы.
CVE-2021-21409Netty — это сетевая платформа с открытым исходным кодом, управляемая асинхронными событиями, для быстрой разработки поддерживаемых высокопроизводительных серверов и клиентов протоколов. В Netty (io.netty:netty-codec-http2) до версии 4.1.61.Final существует уязвимость, которая позволяет осуществлять контрабанду запросов. Заголовок content-length не проверяется должным образом, если запрос использует только один Http2HeaderFrame с параметром endStream, установленным в значение true. Это может привести к контрабанде запросов, если запрос проксируется на удаленный узел и преобразуется в HTTP/1.1. Это является продолжением GHSA-wm47-8v5p-wjpj/CVE-2021-21295, который не смог исправить этот конкретный случай. Эта проблема была устранена в рамках версии 4.1.61.Final.
CVE-2021-21295Netty — это платформа для разработки сетевых приложений с открытым исходным кодом, управляемая асинхронными событиями, для быстрой разработки поддерживаемых высокопроизводительных протокольных серверов и клиентов. В Netty (io.netty:netty-codec-http2) версий до 4.1.60.Final существует уязвимость, позволяющая осуществлять контрабанду запросов. Если заголовок Content-Length присутствует в исходном запросе HTTP/2, поле не проверяется `Http2MultiplexHandler`, поскольку оно распространяется вверх. Это нормально, если запрос не передается через HTTP/1.1. Если запрос поступает как поток HTTP/2, преобразуется в объекты домена HTTP/1.1 (`HttpRequest`, `HttpContent` и т. д.) через `Http2StreamFrameToHttpObjectCodec `и затем отправляется в конвейер дочернего канала и передается через удаленный узел как HTTP/1.1, это может привести к контрабанде запросов. В случае прокси пользователи могут предполагать, что content-length каким-то образом проверяется, но это не так. Если запрос пересылается на внутренний канал, который является соединением HTTP/1.1, Content-Length теперь имеет значение и его необходимо проверить. Злоумышленник может пронести запросы внутри тела, поскольку оно понижается с HTTP/2 до HTTP/1.1. Пример атаки см. в связанном GitHub Advisory. Пользователи подвержены риску только в том случае, если все это верно: используется `HTTP2MultiplexCodec` или `Http2FrameCodec`, используется `Http2StreamFrameToHttpObjectCodec` для преобразования в объекты HTTP/1.1, и эти объекты HTTP/1.1 пересылаются другому удаленному узлу. Это исправлено в версии 4.1.60.Final. В качестве обходного пути пользователь может выполнить проверку самостоятельно, реализовав пользовательский `ChannelInboundHandler`, который помещается в `ChannelPipeline` за `Http2StreamFrameToHttpObjectCodec`.