Обход ограничений безопасности

Высокая (7.5)

(AV:N/AC:L/Au:N/C:P/I:P/A:P)

Oracle

Oracle WebLogic Server (10.3.6.0, 12.1.2.0, 12.1.3.0) Oracle WebLogic Server Updates (Critical Patch Update - January 2016)

Уязвимость существует в TransformerFactory в Apache Xalan-Java из-за некорректного ограничения доступа к некоторым параметрам при использовании FEATURE_SECURE_PROCESSING. Эксплуатация данной уязвимости позволяет злоумышленникам, действующим удаленно, обойти установленные ограничения и загрузить произвольные классы или получить доступ к внешним ресурсам при помощи специально сформированного параметра xalan:content-header, xalan:entities, xslt:content-header или xslt:entities, а также параметра Java, который связан с функцией XSLT 1.0 system-property.

Для устранения уязвимости необходимо установить последнюю версию продукта, соответствующую используемой платформе. Необходимую информацию можно получить по адресу:
http://www.oracle.com/

Источник: CVE
Наименование: CVE-2014-0107
URL: http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2014-0107

http://www.oracle.com/technetwork/topics/security/cpujan2016-2367955.html#AppendixFMW