CVE-2017-12149
CriticalSummary
W serwerze aplikacji Jboss, dostarczanym z Red Hat Enterprise Application Platform 5.2, stwierdzono, że metoda doFilter w ReadOnlyAccessFilter HTTP Invoker nie ogranicza klas, dla których wykonuje deserializację. To pozwala atakującemu na wykonanie dowolnego kodu za pomocą spreparowanych danych serializowanych.
Risk Assessment
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Recommendation
Zaleca się aktualizację do najnowszej wersji serwera aplikacji Jboss oraz wprowadzenie dodatkowych zabezpieczeń w celu ograniczenia deserializacji nieznanych klas.
Original NVD description (English source)
In Jboss Application Server as shipped with Red Hat Enterprise Application Platform 5.2, it was found that the doFilter method in the ReadOnlyAccessFilter of the HTTP Invoker does not restrict classes for which it performs deserialization and thus allowing an attacker to execute arbitrary code via crafted serialized data.