Exploitation de fond Catalogue KEV

CVE-2018-5430

TIBCO JasperReports Server Information Disclosure Vulnerability

Indice de priorité CheckOps

6,3/10 Corriger sous 7 jours

Gravité7,7

Probabilité4,8

Exploitation3/5

Gravité = CVSS. Probabilité = EPSS (FIRST). Exploitation = signaux publics : KEV, EUVD, rançongiciel, EPSS au-dessus de 10 %, accès sans compte.

EPSS · aujourd’hui 48,1 % plus haute que 98,9 % des CVE

CVSS 3.0 7,7 AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:

Exploitée depuis 1 405 jours 29/12/2022

Échéance CISA 19/01/2023 pour les agences fédérales américaines

Probabilité d’exploitation EPSS · FIRST

Probabilité EPSS (%)Percentile parmi toutes les CVE

Signaux d’exploitation 3 / 5

Catalogue KEV (CISA)29/12/2022
EUVD exploitée (ENISA)29/12/2022
Utilisée par des rançongicielsnon
EPSS au-dessus de 10 %48,1 %
Sans compte, par le réseaunon

Que faire

Corriger

Appliquer le correctif de l’éditeur dès qu’il est disponible.

Consigne de la CISA : Apply updates per vendor instructions.

En attendant

Retirer le service d’internet ou en filtrer l’accès, surveiller les journaux et chercher des traces de compromission.

Éditeurs (CRA)

Faille exploitée dans votre produit : alerte précoce à l’ENISA sous 24 h, puis notification sous 72 h (article 14 du Cyber Resilience Act). Le CRA expliqué

Description ENISA EUVD

The Spring web flows of TIBCO Software Inc.'s TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, and TIBCO Jaspersoft Reporting and Analytics for AWS contain a vulnerability which may allow any authenticated user read-only access to the contents of the web application, including key configuration files. Affected releases include TIBCO Software Inc.'s TIBCO JasperReports Server: versions up to and including 6.2.4; 6.3.0; 6.3.2; 6.3.3;6.4.0; 6.4.2, TIBCO JasperReports Server Community Edition: versions up to and including 6.4.2, TIBCO JasperReports Server for ActiveMatrix BPM: versions up to and including 6.4.2, TIBCO Jaspersoft for AWS with Multi-Tenancy: versions up to and including 6.4.2, TIBCO Jaspersoft Reporting and Analytics for AWS: versions up to and including 6.4.2.

Texte de la source, en anglais.

Produits touchés

TIBCO JasperReports ServerTIBCO Jaspersoft Reporting and Analytics for AWSTIBCO Jaspersoft for AWS with Multi-TenancyTIBCO JasperReports Server for ActiveMatrix BPMTIBCO JasperReports Server Community EditionJasperReports

Versions touchées

6.3.3
6.4.2
unspecified ≤6.4.2
unspecified ≤6.2.4
6.4.0
6.3.0
6.3.2

Faiblesses (CWE)

CWE-22

Paquets open source OSV

Bibliothèques touchées selon OSV, avec les versions corrigées.

Chronologie

17/04/2018
Publication
29/12/2022
Exploitation signalée (ENISA)
29/12/2022
Ajout au catalogue KEV
19/01/2023
Échéance de correction CISA
26/09/2026
EPSS au plus haut : 49,0 %

Références

Autres failles exploitées du même éditeur

CVE-2018-18809TIBCO JasperReports Library Directory Traversal Vulnerability
8,1 · Exploitation de fond