CVE-2018-5430highbajo ataqueCWE-200

CVE-2018-5430: fallo de gravedad alta en TIBCO JasperReports Server

TIBCO JasperReports Server Information Disclosure Vulnerability

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear TIBCO JasperReports Server+ Monitorear TIBCO JasperReports Server for ActiveMatrix BPM

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

83Vexday Risk Score

Prioriza la corrección. Ella está bajo explotación confirmada por CISA y tiene prueba de concepto pública.

ssvc Actcvss 7.7epss 48%
de la publicación al arma16 días
Publicada en NVD17 abr
1ª PoC+16d
CISA KEV+1717d
Lo que declaran los fabricantes (VEX)

Declaraciones oficiales de los fabricantes en formato CSAF/VEX: si su producto está afectado, ya corregido o descartado — y por qué. Es afirmación del fabricante, no juicio de Vexday.

Red Hatdocumento VEX ↗
No afectado
1 producto — porque el código vulnerable no está presente en el producto
red_hat_products
Acción exigida por CISAplazo federal: 2023-01-19

Apply updates per vendor instructions.

En resumen

Un usuario autenticado puede leer archivos confidenciales del TIBCO JasperReports Server que no debería acceder, incluyendo archivos de configuración sensibles. Esto expone información crítica del sistema a cualquier persona con una cuenta de login.

Detalle técnico

Una vulnerabilidad en los flujos Spring del JasperReports Server permite que usuarios autenticados eludan restricciones de ruta y lean archivos arbitrarios, incluyendo configuraciones con credenciales de base de datos y secretos del sistema. El ataque requiere credenciales válidas pero sin privilegios elevados, resultando en divulgación no autorizada de información afectando múltiples variantes de productos TIBCO.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

The Spring web flows of TIBCO Software Inc.'s TIBCO JasperReports Server, TIBCO JasperReports Server Community Edition, TIBCO JasperReports Server for ActiveMatrix BPM, TIBCO Jaspersoft for AWS with Multi-Tenancy, and TIBCO Jaspersoft Reporting and Analytics for AWS contain a vulnerability which may allow any authenticated user read-only access to the contents of the web application, including key configuration files. Affected releases include TIBCO Software Inc.'s TIBCO JasperReports Server: versions up to and including 6.2.4; 6.3.0; 6.3.2; 6.3.3;6.4.0; 6.4.2, TIBCO JasperReports Server Community Edition: versions up to and including 6.4.2, TIBCO JasperReports Server for ActiveMatrix BPM: versions up to and including 6.4.2, TIBCO Jaspersoft for AWS with Multi-Tenancy: versions up to and including 6.4.2, TIBCO Jaspersoft Reporting and Analytics for AWS: versions up to and including 6.4.2.
CVSS:3.0/AV:N/AC:L/PR:L/UI:N/S:C/C:H/I:N/A:N
Productos afectados
TIBCO Software Inc. · TIBCO JasperReports ServerTIBCO Software Inc. · TIBCO JasperReports Server Community EditionTIBCO Software Inc. · TIBCO JasperReports Server for ActiveMatrix BPMTIBCO Software Inc. · TIBCO Jaspersoft for AWS with Multi-TenancyTIBCO Software Inc. · TIBCO Jaspersoft Reporting and Analytics for AWS
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
CVEs relacionadas — TIBCO JasperReports Server

En el mismo producto, de las más peligrosas a las menos.

CVE-2018-18809CRITICALTIBCO JasperReports Library Directory Traversal VulnerabilityEPSS 79.1%KEVCVE-2020-9410HIGHTIBCO JasperReports LibraryEPSS 5.4%CVE-2020-9409CRITICALTIBCO JasperReports Server Fails To Enforce Access RestrictionsEPSS 3.5%CVE-2018-18815CRITICALTIBCO JasperReports Server User Information DisclosureEPSS 3.1%CVE-2022-22771CRITICALTIBCO JasperReports Library Directory Traversal VulnerabilityEPSS 2.4%CVE-2017-5533CRITICALTIBCO JasperReports Server credentials disclosureEPSS 2.2%