CVE-2023-32217
CriticalSummary
IdentityIQ w wersjach 8.3 i wcześniejszych (do 8.3p2), 8.2 i wcześniejszych (do 8.2p5), 8.1 i wcześniejszych (do 8.1p6), oraz 8.0 i wcześniejszych (do 8.0p5) pozwala uwierzytelnionemu użytkownikowi na wywołanie konstruktora Java bez argumentów lub z jednym argumentem typu Map w dowolnej klasie Java dostępnej w ścieżce klas aplikacji IdentityIQ.
Risk Assessment
Możliwość wywołania konstruktorów w aplikacji może prowadzić do nieautoryzowanego dostępu do funkcji lub danych, co stwarza ryzyko dla integralności i poufności systemu.
Recommendation
Zaleca się aktualizację do wersji IdentityIQ 8.3p3, 8.2p6, 8.1p7 lub 8.0p6, aby zniwelować tę podatność.
Original NVD description (English source)
IdentityIQ 8.3 and all 8.3 patch levels prior to 8.3p3, IdentityIQ 8.2 and all 8.2 patch levels prior to 8.2p6, IdentityIQ 8.1 and all 8.1 patch levels prior to 8.1p7, IdentityIQ 8.0 and all 8.0 patch levels prior to 8.0p6 allow an authenticated user to invoke a Java constructor with no arguments or a Java constructor with a single Map argument in any Java class available in the IdentityIQ application classpath.