CVE-2014-0114

Wysokie

Opublikowano: 30/04/2014(UTC)Przetłumaczono: 17/06/2026(UTC)NVD NIST

Streszczenie

Apache Commons BeanUtils w wersji 1.8.0 oraz w innych produktach wymagających commons-beanutils do wersji 1.9.2 nie blokuje właściwości klasy, co umożliwia zdalnym atakującym manipulację ClassLoaderem i wykonanie dowolnego kodu.

Ocena ryzyka

Atakujący mogą wykorzystać tę podatność do uruchomienia złośliwego kodu na serwerze, co może prowadzić do poważnych naruszeń bezpieczeństwa i utraty danych.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji Apache Commons BeanUtils oraz przeglądanie kodu aplikacji w celu eliminacji możliwości manipulacji ClassLoaderem.

Inne podatności w Apache Commons BeanUtils

CVE-2019-10086Wysokie
W Apache Commons Beanutils 1.9.2 dodano specjalną klasę BeanIntrospector, która pozwala na zablokowanie dostępu do classloadera przez właściwość 'class' dostępną na wszystkich obiektach Java. Jednak nie była ona domyślnie używana przez PropertyUtilsBean.

Oryginalny opis (angielski, źródło NVD)

Apache Commons BeanUtils, as distributed in lib/commons-beanutils-1.8.0.jar in Apache Struts 1.x through 1.3.10 and in other products requiring commons-beanutils through 1.9.2, does not suppress the class property, which allows remote attackers to "manipulate" the ClassLoader and execute arbitrary code via the class parameter, as demonstrated by the passing of this parameter to the getClass method of the ActionForm object in Struts 1.