CVE-2021-29425Otomatik saldırıya uygun · CISA

Possible limited path traversal vulnerabily in Apache Commons IO

CVSS Skor

6.5

EPSS İhtimal

%10.5

Risk Skoru

0.7

Yayın

5 yıl önce

Overview (Genel Bakış)Public Exploits (0)Newsroom (Haberler)Vulnerability Timeline

Resmî yama doğrulandı

Etkilenen ürün ve sürüm için yayımlanan güvenlik güncellemesini uygulayın.

Envanterimdeki Etkisi

Yalnızca hesabınıza eklediğiniz kişisel ürünler değerlendirilir; kurumsal envanter burada görünmez.

Oturum kontrol ediliyor…

Zafiyet Açıklaması

DayBreach CVE AI Araştırması

CVE-2021-29425 için toplanan üretici, dağıtım, yama ve güvenlik kaynağı kayıtlarını karşılaştırıp kanıt bağlantılı bir açıklama hazırlayalım.

In Apache Commons IO before 2.7, When invoking the method FileNameUtils.normalize with an improper input string, like "//../foo", or "\\..\foo", the result would be the same value, thus possibly providing access to files in the parent directory, but not further above (thus "limited" path traversal), if the calling code would use the result to construct a path value.

IMPACT — Etkilenen Ürünler ve Yazılımlar

Affected Products

The following products are affected by CVE-2021-29425 vulnerability. Even if our threat engine is aware of the exact versions of the products that are affected, the information is represented below.

ID	VENDOR	PRODUCT	ACTION
1	Apache Software Foundation	Apache Commons IO	İncele
2	apache	commons io	İncele
3	apache	commons io	İncele
4	apache	commons io	İncele
5	apache	commons io	İncele
6	apache	commons io	İncele
7	debian	debian linux	İncele
8	oracle	access manager	İncele
9	oracle	access manager	İncele
10	oracle	access manager	İncele
11	oracle	agile engineering data management	İncele
12	oracle	agile product lifecycle management	İncele
13	oracle	application performance management	İncele
14	oracle	application performance management	İncele
15	oracle	application testing suite	İncele
16	oracle	banking apis	İncele
17	oracle	banking apis	İncele
18	oracle	banking apis	İncele
19	oracle	banking apis	İncele
20	oracle	banking apis	İncele
21	oracle	banking apis	İncele
22	oracle	banking apis	İncele
23	oracle	banking digital experience	İncele
24	oracle	banking digital experience	İncele
25	oracle	banking digital experience	İncele
26	oracle	banking digital experience	İncele
27	oracle	banking digital experience	İncele
28	oracle	banking digital experience	İncele
29	oracle	banking digital experience	İncele
30	oracle	banking enterprise default management	İncele
31	oracle	banking enterprise default management	İncele
32	oracle	banking enterprise default management	İncele
33	oracle	banking enterprise default management	İncele
34	oracle	banking enterprise default management	İncele
35	oracle	banking enterprise default managment	İncele
36	oracle	banking party management	İncele
37	oracle	banking platform	İncele
38	oracle	banking platform	İncele
39	oracle	banking platform	İncele
40	oracle	banking platform	İncele
41	oracle	blockchain platform	İncele
42	oracle	commerce guided search	İncele
43	oracle	communications application session controller	İncele
44	oracle	communications billing and revenue management elastic charging engine	İncele
45	oracle	communications billing and revenue management elastic charging engine	İncele
46	oracle	communications cloud native core network repository function	İncele
47	oracle	communications cloud native core policy	İncele
48	oracle	communications cloud native core unified data repository	İncele
49	oracle	communications contacts server	İncele
50	oracle	communications converged application server - service controller	İncele
51	oracle	communications convergence	İncele
52	oracle	communications design studio	İncele
53	oracle	communications design studio	İncele
54	oracle	communications diameter intelligence hub	İncele
55	oracle	communications diameter intelligence hub	İncele
56	oracle	communications interactive session recorder	İncele
57	oracle	communications interactive session recorder	İncele
58	oracle	communications offline mediation controller	İncele
59	oracle	communications order and service management	İncele
60	oracle	communications order and service management	İncele
61	oracle	communications policy management	İncele
62	oracle	communications pricing design center	İncele
63	oracle	communications pricing design center	İncele
64	oracle	communications service broker	İncele
65	oracle	enterprise communications broker	İncele
66	oracle	enterprise session border controller	İncele
67	oracle	enterprise session border controller	İncele
68	oracle	financial services analytical applications infrastructure	İncele
69	oracle	financial services model management and governance	İncele
70	oracle	flexcube core banking	İncele
71	oracle	flexcube core banking	İncele
72	oracle	flexcube core banking	İncele
73	oracle	fusion middleware mapviewer	İncele
74	oracle	health sciences data management workbench	İncele
75	oracle	health sciences data management workbench	İncele
76	oracle	health sciences information manager	İncele
77	oracle	healthcare data repository	İncele
78	oracle	helidon	İncele
79	oracle	helidon	İncele
80	oracle	insurance policy administration	İncele
81	oracle	insurance policy administration	İncele
82	oracle	insurance policy administration	İncele
83	oracle	insurance policy administration	İncele
84	oracle	insurance policy administration	İncele
85	oracle	insurance rules palette	İncele
86	oracle	insurance rules palette	İncele
87	oracle	insurance rules palette	İncele
88	oracle	insurance rules palette	İncele
89	oracle	insurance rules palette	İncele
90	oracle	oss support tools	İncele
91	oracle	primavera unifier	İncele
92	oracle	primavera unifier	İncele
93	oracle	primavera unifier	İncele
94	oracle	primavera unifier	İncele
95	oracle	primavera unifier	İncele
96	oracle	real user experience insight	İncele
97	oracle	real user experience insight	İncele
98	oracle	rest data services	İncele
99	oracle	rest data services	İncele
100	oracle	retail assortment planning	İncele
101	oracle	retail integration bus	İncele
102	oracle	retail integration bus	İncele
103	oracle	retail integration bus	İncele
104	oracle	retail integration bus	İncele
105	oracle	retail integration bus	İncele
106	oracle	retail integration bus	İncele
107	oracle	retail integration bus	İncele
108	oracle	retail merchandising system	İncele
109	oracle	retail merchandising system	İncele
110	oracle	retail order broker	İncele
111	oracle	retail order broker	İncele
112	oracle	retail order broker	İncele
113	oracle	retail pricing	İncele
114	oracle	retail service backbone	İncele
115	oracle	retail service backbone	İncele
116	oracle	retail service backbone	İncele
117	oracle	retail service backbone	İncele
118	oracle	retail service backbone	İncele
119	oracle	retail service backbone	İncele
120	oracle	retail size profile optimization	İncele
121	oracle	retail xstore point of service	İncele
122	oracle	retail xstore point of service	İncele
123	oracle	retail xstore point of service	İncele
124	oracle	retail xstore point of service	İncele
125	oracle	solaris cluster	İncele
126	oracle	utilities testing accelerator	İncele
127	oracle	utilities testing accelerator	İncele
128	oracle	utilities testing accelerator	İncele
129	oracle	webcenter portal	İncele
130	oracle	webcenter portal	İncele
131	oracle	weblogic server	İncele
132	oracle	weblogic server	İncele
133	oracle	weblogic server	İncele
134	oracle	weblogic server	İncele
135	netapp	active iq unified manager	İncele

Total Affected Vendor: 5|Products: 135

RED HAT CSAF/VEX — Ürün Etki Kontrolü

Red Hat bu CVE için henüz bir CSAF/VEX etki kaydı yayımlamamış. Bu durum “etkilenmiyor” anlamına gelmez.

SCORING — CVSS Çoklu Kaynak Skoru

CVSS Scores

The Common Vulnerability Scoring System is a standardized framework for assessing the severity of vulnerabilities in software and systems. We collect and display CVSS scores from various sources for each CVE.

SCORE	VERSION	SEVERITY	VECTOR	SOURCE
6.5	CVSS V31	MEDIUM	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N	NVD
6.5	CVSS V3_1	MEDIUM	CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N	CVE ADP
5.8	CVSS V2	—	AV:N/AC:M/Au:N/C:P/I:P/A:N	NVD
4.8	CVSS V31	MEDIUM	CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N	NVD

Yama ve İyileştirme Rehberi (Solution)

Solution & Remediation Advisory

Yama doğrulandı

3 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.

nvd

NVD tarafından Patch olarak etiketlenmiş referans

Kaynağı aç

nvd

NVD tarafından Patch olarak etiketlenmiş referans

Kaynağı aç

nvd

NVD tarafından Patch olarak etiketlenmiş referans

Kaynağı aç

Etkilenen ürün ve sürümü yukarıdaki kaynak kanıtlarıyla doğrulayın.

İnternete açık servislerde erişimi kısıtlayın ve ağ segmentasyonu uygulayın.

Kanıtta belirtilen resmî güncellemeyi yalnızca eşleşen ürün ve sürüme uygulayın.

Sunucu günlüklerini ve ağ uçlarını anormal çalıştırma belirtileri için izleyin.

Public exploit ve aktif sömürü durumu

Doğrulanmış exploit istihbaratı

Bu CVE için henüz doğrulanmış public PoC, exploit repository’si veya Metasploit modülü bulunamadı.

Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)

CWE - Common Weakness Enumeration

While CVE identifies specific instances of vulnerabilities, CWE categorizes the common flaws or weaknesses that can lead to vulnerabilities. CVE-2021-29425 is associated with the following CWEs:

CWE-20: Improper Input Validation CWE-22: Improper Limitation of a Pathname to a Restricted Directory ('Path Traversal')

Common Attack Pattern Enumeration and Classification (CAPEC)

Common Attack Pattern Enumeration and Classification (CAPEC) stores attack patterns, which are descriptions of the common attributes and approaches employed by adversaries to exploit the CVE-2021-29425 weaknesses.

CAPEC-66: SQL Injection CAPEC-126: Path Traversal CAPEC-28: OS Command Injection

Saldırı Vektörü ve Erişilebilirlik Karakteristiği

ErişimAğ üzerinden

YetkiGerekmiyor

KullanıcıGerekmiyor

Resmi Kaynaklar ve Danışma Bültenleri

https://issues.apache.org/jira/browse/IO-556vendor-advisory https://lists.apache.org/thread.html/rc359823b5500e9a9a2572678ddb8e01d3505a7ffcadfa8d13b8780ab%40%3Cuser.commons.apache.org%3Evendor-advisory [commons-dev] 20210414 Re: [all] OSS Fuzzvendor-advisory [commons-dev] 20210415 Re: [all] OSS Fuzzvendor-advisory [pulsar-commits] 20210420 [GitHub] [pulsar] lhotari opened a new pull request #10287: [Security] Upgrade commons-io to address CVE-2021-29425vendor-advisory [pulsar-commits] 20210420 [GitHub] [pulsar] merlimat merged pull request #10287: [Security] Upgrade commons-io to address CVE-2021-29425vendor-advisory [creadur-dev] 20210427 [jira] [Closed] (RAT-281) Update commons-io to fix CVE-2021-29425 Moderate severityvendor-advisory [creadur-dev] 20210427 [jira] [Created] (RAT-281) Update commons-io to fix CVE-2021-29425 Moderate severityvendor-advisory [creadur-dev] 20210427 [jira] [Commented] (RAT-281) Update commons-io to fix CVE-2021-29425 Moderate severityvendor-advisory [creadur-dev] 20210427 [jira] [Updated] (RAT-281) Update commons-io to fix CVE-2021-29425 Moderate severityvendor-advisory

CVSS Vektör Radar Grafiği

6.5 / 10

Vulnerability Scoring Details

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:L/A:N

Attack VectorNetwork (Ağ)

Attack ComplexityLow (Düşük)

Privileges RequiredNone (Gerekmiyor)

User InteractionNone (Gerekmiyor)

Confidentiality (Gizlilik)Low (Düşük)

Integrity (Bütünlük)None (Yok)

Availability (Erişilebilirlik)None (Yok)

Yama doğrulandı

3 doğrulanmış yama veya düzeltilmiş sürüm kanıtı bulundu.

Üreticiyi takip et

Apache Software Foundation

Zafiyet Türü (CWE & CAPEC)

CWE-20 CWE-22

İlgili Benzer Açıklar

10.0

CVE-2021-44228 Aktif sömürülüyorImproper input validation in Apache Log4j

Üreticisiemens Ürün6bk1602-0aa12-0tp0 firmware+16 etkilenen

Yama doğrulandı Public Exploits:22EPSS %1004 yıl önce

10.0

CVE-2015-3306 Aktif sömürülüyorImproper access control in N/a

Üreticin/a Ürünn/a+10 etkilenen

Geçici çözüm Public Exploits:5EPSS %9911 yıl önce

9.8

CVE-2017-5638 Aktif sömürülüyorstruts2: RCE when performing file upload based on Jakarta Multipart parser

Üreticiapache Ürünstruts

Geçici çözüm Public Exploits:10EPSS %1009 yıl önce

9.8

CVE-2018-11776 Aktif sömürülüyorstruts2: Using specific results and namespaces can result in a remote code execution

Üreticiapache Ürünstruts

Geçici çözüm Public Exploits:14EPSS %1008 yıl önce

9.8

CVE-2023-46604 Aktif sömürülüyoractivemq-openwire: OpenWire Module: Unbounded deserialization causes ActiveMQ to be vulnerable to a remote code execution (RCE) attack

ÜreticiRed Hat Ürünred_hat_jboss_fuse_service_works_6:activemq-openwire+8 etkilenen

Kısmi yama Public Exploits:9EPSS %1003 yıl önce

9.8

CVE-2025-61882 Aktif sömürülüyorImproper authentication in Oracle Corporation Oracle Concurrent Processing

ÜreticiOracle Corporation ÜrünOracle Concurrent Processing+3 etkilenen

Geçici çözüm Public Exploits:10EPSS %1001 yıl önce

Bu açığı API ile alın

Etkilenen ürünler, sürüm aralıkları, istismar durumu ve yama bilgisi tek istekte; ücretsiz anahtarla.

Ücretsiz anahtar al Belgeler

curl -H "x-api-key: $DAYBREACH_API_KEY" \
  "https://api.daybreach.dev/api/v1/intel/cves/CVE-2021-29425"

Possible limited path traversal vulnerabily in Apache Commons IO

Envanterimdeki Etkisi

Zafiyet Açıklaması

IMPACT — Etkilenen Ürünler ve Yazılımlar

Affected Products

RED HAT CSAF/VEX — Ürün Etki Kontrolü

SCORING — CVSS Çoklu Kaynak Skoru

CVSS Scores

Yama ve İyileştirme Rehberi (Solution)

Solution & Remediation Advisory

Public exploit ve aktif sömürü durumu

Doğrulanmış exploit istihbaratı

Zafiyet Dağılımı ve Saldırı Kalıpları (CWE & CAPEC)

CWE - Common Weakness Enumeration

Common Attack Pattern Enumeration and Classification (CAPEC)

Saldırı Vektörü ve Erişilebilirlik Karakteristiği

Resmi Kaynaklar ve Danışma Bültenleri

CVSS Vektör Radar Grafiği

Vulnerability Scoring Details

Zafiyet Türü (CWE & CAPEC)

İlgili Benzer Açıklar

Bu açığı API ile alın

DayBreach

Sözlük & Referans

Dizinler & Akışlar

RSS & Entegrasyon