Connexion Inscription
JA · EN · FR
SecPulse
Catégories
CVE-2020-15250 medium CVSS 4.4

Divulgation d'information dans Oracle Apache (CVE-2020-15250)

Résumé

Vulnérabilité dans Oracle Apache (CVE-2020-15250). Des informations confidentielles peuvent être exposées. Exploitable via java.io.tmpdir. Atténuation : mise à jour vers 4.13.1 ou plus.

Description d'origine

La description telle que publiée par la source (souvent en anglais).

In JUnit4 from version 4.7 and before 4.13.1, the test rule TemporaryFolder contains a local information disclosure vulnerability. On Unix like systems, the system's temporary directory is shared between all users on that system. Because of this, when files and directories are written into this directory they are, by default, readable by other users on that same system. This vulnerability does not allow other users to overwrite the contents of these directories or files. This is purely an information disclosure vulnerability. This vulnerability impacts you if the JUnit tests write sensitive information, like API keys or passwords, into the temporary folder, and the JUnit tests execute in an environment where the OS has other untrusted users. Because certain JDK file system APIs were only added in JDK 1.7, this this fix is dependent upon the version of the JDK you are using. For Java 1.7 and higher users: this vulnerability is fixed in 4.13.1. For Java 1.6 and lower users: no patch is available, you must use the workaround below. If you are unable to patch, or are stuck running on Java 1.6, specifying the java.io.tmpdir system environment variable to a directory that is exclusively owned by the executing user will fix this vulnerability. For more information, including an example of vulnerable code, see the referenced GitHub Security Advisory.

Source: OSV.dev (Open Source Vulnerabilities) NVD GitHub Advisory OSV

Résumé généré automatiquement

Assemblé par SecPulse à partir des données sources (CVSS, CWE, versions affectées) à l'aide de modèles, sans IA. Vérifiez la description d'origine et les références ci-dessous.

Une vulnérabilité référencée CVE-2020-15250 a été découverte dans Oracle Apache.
Des attaquants peuvent cibler un point d'entrée spécifique comme java.io.tmpdir à distance pour détourner le produit.
Des informations confidentielles peuvent être exposées. Score CVSS : 4.4/10.
Action : mettez à jour Oracle Apache vers 4.13.1 ou supérieur.
En cas de doute, contactez votre service informatique ou cherchez « Oracle Apache CVE-2020-15250 » sur le site de l'éditeur.

CVE-2020-15250 (Oracle Apache) — CWE-200 / CVSS v3 4.4
Vecteur d'attaque : local
Surface d'attaque : java.io.tmpdir
Correctif : 4.13.1 — appliquer immédiatement
Plan : 1) Audit SBOM, 2) Mise à jour staging→prod, 3) Surveillance WAF/proxy sur les endpoints affectés, 4) Recherche d'IOC dans les logs.
Réfs : voir GHSA / avis éditeur / version corrigée liés sur cette page.

❓ Quel est le problème

Une divulgation d'information (CWE-200) affecte Oracle Apache. Les attaquants atteignent le code vulnérable via java.io.tmpdir.

📍 Périmètre concerné

Consultez l'avis de l'éditeur pour les versions affectées de Oracle Apache. Surface d'attaque : java.io.tmpdir.

🔥 Gravité

Gravité : Moyenne (CVSS 4.4/10). Des informations confidentielles peuvent être exposées.

🔧 Comment corriger

Mettre à jour vers 4.13.1.

🛡️ Contournement

En attendant le correctif : désactivez la fonctionnalité concernée, appliquez des règles WAF, ou restreignez l'accès par ACL réseau.

🔍 Détection

Recherchez dans les logs des requêtes correspondant aux IOC connus de cette CVE. Auditez les SBOM/dépendances.

Actions de réponse

Étapes concrètes et exemples de commandes que les équipes SOC/SRE doivent exécuter dans l'ordre

  1. 1
    Identify exposure identify 
    grep -r 'Apache' . | grep -v node_modules

    リポジトリと本番環境の依存ファイル (package-lock.json / requirements.txt / go.sum / Gemfile.lock 等) で Apache を grep し、稼働しているサービス・バージョンを把握する。

  2. 2
    Apply patch patch 
    Upgrade Oracle Apache to 4.13.1

    ステージング環境で 4.13.1 に上げて回帰テスト → 本番反映。回帰テストはアプリの主要ハッピーパスを含めること。

  3. 3
    Post-deployment verification verify 
    Confirm patched version is live in production

    パッチ適用後、ステージングで PoC または同等の悪用パターンを再現して脆弱性が閉じたことを確認。本番ではアクセスログ・WAF でアラート再発が無いか継続監視。

Références

Nous utilisons des cookies pour l'analyse d'audience et la mesure publicitaire. Ce réglage s'applique à tous les sites de Game co., Ltd. En savoir plus