Exploitation de fond Catalogue KEV

CVE-2018-18809

TIBCO JasperReports Library Directory Traversal Vulnerability

Indice de priorité CheckOps

8,1/10 Corriger sous 24 h

Gravité9,9

Probabilité7,9

Exploitation3/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 79,1 % plus haute que 99,6 % des CVE

CVSS 3.0 9,9 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:

Exploitée depuis 1 405 jours 29/12/2022

Échéance CISA 19/01/2023 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 3 / 5

Catalogue KEV (CISA)29/12/2022
EUVD exploitée (ENISA)29/12/2022
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %79,1 %
Sans compte, par le réseaunon

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply updates per vendor instructions.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

The default server implementation of TIBCO Software Inc.'s TIBCO JasperReports Library, TIBCO JasperReports Library Community Edition, TIBCO JasperReports Library for ActiveMatrix BPM, TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, and TIBCO Jaspersoft Reporting and Analytics for AWS contains a directory-traversal vulnerability that may theoretically allow web server users to access contents of the host system. Affected releases are TIBCO Software Inc.'s TIBCO JasperReports Library: versions up to and including 6.3.4; 6.4.1; 6.4.2; 6.4.21; 7.1.0; 7.2.0, TIBCO JasperReports Library Community Edition: versions up to and including 6.7.0, TIBCO JasperReports Library for ActiveMatrix BPM: versions up to and including 6.4.21, TIBCO JasperReports Server: versions up to and including 6.3.4; 6.4.0; 6.4.1; 6.4.2; 6.4.3; 7.1.0, TIBCO JasperReports Server Community Edition: versions up to and including 6.4.3; 7.1.0, TIBCO JasperReports Server for ActiveMatrix BPM: versions up to and including 6.4.3, TIBCO Jaspersoft for AWS with Multi-Tenancy: versions up to and including 7.1.0, TIBCO Jaspersoft Reporting and Analytics for AWS: versions up to and including 7.1.0.

Texte de la source, en anglais.

Produits touchés

TIBCO JasperReports Server Community EditionTIBCO JasperReports ServerTIBCO JasperReports LibraryTIBCO JasperReports Library Community EditionTIBCO JasperReports Server for ActiveMatrix BPMTIBCO JasperReports Library for ActiveMatrix BPMTIBCO Jaspersoft Reporting and Analytics for AWSTIBCO Jaspersoft for AWS with Multi-TenancyJasperReports

Versions touchées

unspecified ≤6.4.3
7.1.0
6.4.1
6.4.21
unspecified ≤6.7.0
6.4.3
unspecified ≤6.3.4
7.2.0
6.4.2
unspecified ≤6.4.21
unspecified ≤7.1.0
6.4.0

Faiblesses (CWE)

CWE-22

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

07/03/2019
Publication
29/12/2022
Exploitation signalée (ENISA)
29/12/2022
Ajout au catalogue KEV
19/01/2023
Échéance de correction CISA
26/09/2026
EPSS au plus haut : 79,1 %

Références

Autres failles exploitées du même éditeur

CVE-2018-5430TIBCO JasperReports Server Information Disclosure Vulnerability
6,3 · Exploitation de fond