Oncommand Unified Manager
Уязвимости
171
Эксплуатируемые
3
Макс. CVSS
9.8
Макс. EPSS
0.98631
Распределение по критичности
Критический
10
Высокий
54
Средний
95
Низкий
12
Затронутые диапазоны версий
7.2–7.37.3–9.5< 5.2.1< 5.2.3< 5.2.4< 5.2.5< 9.5≤ 7.1≥ 7.1≥ 7.3≥ 9.4≥ 9.5
Также сопоставлено как (исходные строки): oncommand_balance,oncommand_shift,snapmanager,e-series_santricity_storage_manager,plug-in_for_symantec_netbackup,vasa_provider_for_clustered_data_ontap,virtual_storage_console,active_iq_unified_manager,oncommand_performance_manager,oncommand_unified_manager,storage_replication_adapter_for_clustered_data_ontap,cloud_backup
Топ уязвимостей
CVE-2019-9898В PuTTY версий до 0.71 существует потенциальная возможность повторного использования случайных чисел, используемых в криптографии.
CVE-2018-5487NetApp OnCommand Unified Manager для Linux версий с 7.2 по 7.3 поставляется со службой Java Management Extension Remote Method Invocation (JMX RMI), привязанной к сети, и подвержены неаутентифицированному удаленному выполнению кода.
CVE-2017-7657В Eclipse Jetty, версиях 9.2.x и более старых, 9.3.x (все конфигурации) и 9.4.x (нестандартная конфигурация с включенным соответствием RFC2616), чанки transfer-encoding обрабатываются плохо. Анализ длины чанка был уязвим к переполнению целого числа. Таким образом, большой размер чанка мог быть интерпретирован как меньший размер чанка, и контент, отправленный как тело чанка, мог быть интерпретирован как конвейерный запрос. Если Jetty был развернут за посредником, который наложил некоторую авторизацию, и этот посредник позволял произвольно большим чанкам передаваться без изменений, то этот недостаток можно было использовать для обхода авторизации, наложенной посредником, поскольку поддельный конвейерный запрос не был бы интерпретирован посредником как запрос.
CVE-2016-9841inffast.c в zlib 1.2.8 может позволить зависимым от контекста злоумышленникам оказать неуказанное воздействие, используя неправильную арифметику указателей.
CVE-2016-3427Неуказанная уязвимость в Oracle Java SE 6u113, 7u99 и 8u77; Java SE Embedded 8u77; и JRockit R28.3.9 позволяет удаленным злоумышленникам влиять на конфиденциальность, целостность и доступность через векторы, связанные с JMX.
CVE-2015-7871Пакеты Crypto-NAK в ntpd в NTP 4.2.x до 4.2.8p4 и 4.3.x до 4.3.77 позволяют удаленным злоумышленникам обходить аутентификацию.
CVE-2015-7853Параметр datalen в драйвере refclock в NTP 4.2.x до 4.2.8p4 и 4.3.x до 4.3.77 позволяет удаленным злоумышленникам выполнять произвольный код или вызывать отказ в обслуживании (сбой) через отрицательное входное значение.
CVE-2015-7705Функция ограничения скорости в NTP 4.x до 4.2.8p4 и 4.3.x до 4.3.77 позволяет удаленным злоумышленникам оказывать неуказанное воздействие через большое количество специально созданных запросов.
CVE-2018-10933В автомате состояний на стороне сервера libssh до версий 0.7.6 и 0.8.4 обнаружена уязвимость. Злонамеренный клиент может создавать каналы без предварительной аутентификации, что приводит к несанкционированному доступу.
CVE-2018-2938Уязвимость в компоненте Java SE пакета Oracle Java SE (подкомпонент: Java DB). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u191, 7u181 и 8u172. Трудно эксплуатируемая уязвимость позволяет неаутентифицированному злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE. Хотя уязвимость находится в Java SE, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE. Примечание: эта уязвимость может быть использована только путем предоставления данных API в указанном компоненте без использования ненадежных приложений Java Web Start или ненадежных Java-апплетов, например, через веб-сервис. CVE-2018-2938 устраняет CVE-2018-1313. Базовая оценка CVSS 3.0 — 9.0 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:C/C:H/I:H/A:H).
CVE-2019-0211В Apache HTTP Server 2.4 версии 2.4.17 до 2.4.38 с MPM event, worker или prefork код, выполняемый в менее привилегированных дочерних процессах или потоках (включая сценарты, выполняемые с помощью встроенного интерпретатора скриптов), мог выполнять произвольный код с привилегиями родительского процесса (обычно root) путем манипуляции табло. Неподобные Unix-системы не подвержены.
CVE-2017-10346Уязвимость в компоненте Java SE, Java SE Embedded Oracle Java SE (подкомпонент: Hotspot). Уязвимые поддерживаемые версии: Java SE: 6u161, 7u151, 8u144 и 9; Java SE Embedded: 8u144. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику, имеющему доступ к сети через несколько протоколов, скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут существенно повлиять на дополнительные продукты. Успешные атаки с использованием этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: Эта уязвимость относится к развертываниям Java, обычно на клиентах, запускающих изолированные приложения Java Web Start или изолированные Java-апплеты, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на песочницу Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). CVSS 3.0 Base Score 9.6 (Воздействие на конфиденциальность, целостность и доступность). CVSS Vector: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10285Уязвимость в компоненте Java SE, Java SE Embedded Oracle Java SE (подкомпонент: RMI). Поддерживаемые версии: Java SE: 6u161, 7u151, 8u144 и 9; Java SE Embedded: 8u144. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом по нескольким протоколам скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость применяется к развертываниям Java, обычно в клиентах, запускающих изолированные приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не применяется к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). CVSS 3.0 Базовая оценка 9.6 (Воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10111Уязвимость в компоненте Java SE, Java SE Embedded Oracle Java SE (подкомпонент: Libraries). Поддерживаемая версия, подверженная уязвимости: Java SE: 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10110Уязвимость в компоненте Java SE Oracle Java SE (подкомпонент: AWT). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u151, 7u141 и 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и хотя уязвимость находится в Java SE, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10107Уязвимость в компоненте Java SE, Java SE Embedded Oracle Java SE (подкомпонент: RMI). Поддерживаемые версии: Java SE: 6u151, 7u141 и 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику, имеющему доступ к сети по нескольким протоколам, скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие человека, отличного от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих приложения Java Web Start или апплеты Java в изолированной среде, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10101Уязвимость в компоненте Java SE, Java SE Embedded продукта Oracle Java SE (субкомпонент: JAXP). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u151, 7u141 и 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет неаутентифицированному злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с пользователем, отличным от злоумышленника, и хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут существенно повлиять на дополнительные продукты. Успешные атаки с использованием этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих приложения Java Web Start или апплеты Java в песочнице, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на песочницу Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0: 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10096Уязвимость в компоненте Java SE, Java SE Embedded пакета Oracle Java SE (подкомпонент: JAXP). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u151, 7u141 и 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки на эту уязвимость могут привести к захвату Java SE, Java SE Embedded. Примечание: Эта уязвимость применима к развертываниям Java, как правило, в клиентах, запускающих приложения Java Web Start в изолированной программной среде или апплеты Java в изолированной программной среде, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную программную среду Java для обеспечения безопасности. Эта уязвимость не применима к развертываниям Java, как правило, на серверах, которые загружают и запускают только надежный код (например, код, установленный администратором). Базовая оценка CVSS 3.0: 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10090Уязвимость в компоненте Java SE, Java SE Embedded в Oracle Java SE (подкопонент: Libraries). Поддерживаемые версии, подверженные уязвимости: Java SE: 7u141 и 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные веб-приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 составляет 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10089Уязвимость в компоненте Java SE в Oracle Java SE (подкопонент: ImageIO). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u151, 7u141 и 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные веб-приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 составляет 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10087Уязвимость в компоненте Java SE, Java SE Embedded в Oracle Java SE (подкопонент: Libraries). Поддерживаемые версии, подверженные уязвимости: Java SE: 6u151, 7u141 и 8u131; Java SE Embedded: 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE, Java SE Embedded. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, Java SE Embedded, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE, Java SE Embedded. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные веб-приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 составляет 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2017-10086Уязвимость в компоненте Java SE в Oracle Java SE (подкопонент: JavaFX). Поддерживаемые версии, подверженные уязвимости: Java SE: 7u141 и 8u131. Легко эксплуатируемая уязвимость позволяет не прошедшему проверку подлинности злоумышленнику с сетевым доступом через несколько протоколов скомпрометировать Java SE. Для успешных атак требуется взаимодействие с человеком, отличным от злоумышленника, и, хотя уязвимость находится в Java SE, атаки могут значительно повлиять на дополнительные продукты. Успешные атаки этой уязвимости могут привести к захвату Java SE. Примечание: эта уязвимость относится к развертываниям Java, обычно в клиентах, запускающих изолированные веб-приложения Java Web Start или изолированные апплеты Java, которые загружают и запускают ненадежный код (например, код, поступающий из Интернета) и полагаются на изолированную среду Java для обеспечения безопасности. Эта уязвимость не относится к развертываниям Java, обычно на серверах, которые загружают и запускают только доверенный код (например, код, установленный администратором). Базовая оценка CVSS 3.0 составляет 9.6 (воздействие на конфиденциальность, целостность и доступность). Вектор CVSS: (CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:C/C:H/I:H/A:H).
CVE-2015-7854Переполнение буфера в функциональности управления паролями в NTP 4.2.x до 4.2.8p4 и 4.3.x до 4.3.77 позволяет удаленным аутентифицированным пользователям вызывать отказ в обслуживании (сбой демона) или, возможно, выполнять произвольный код через специально созданный файл ключей.
CVE-2015-7849Уязвимость use-after-free в ntpd в NTP 4.2.x до 4.2.8p4 и 4.3.x до 4.3.77 позволяет удаленным аутентифицированным пользователям, возможно, выполнять произвольный код или вызывать отказ в обслуживании (сбой) через специально созданные пакеты.
CVE-2010-1871JBoss Seam 2 (jboss-seam2), использованный в JBoss Enterprise Application Platform 4.3.0 для Red Hat Linux, не правильно очищает входные данные для выражений JBoss Expression Language (EL), что позволяет удалённым злоумышленникам выполнять произвольный код через составленный URL. ЗАМЕТКА: это уязвимость только тогда, когда Java Security Manager не правильно настроен.