CVE-2015-0297

Wysokie

Opublikowano: 24/04/2015(UTC)Przetłumaczono: 16/06/2026(UTC)NVD NIST

Streszczenie

Red Hat JBoss Operations Network w wersji 3.3.1 nie ogranicza prawidłowo dostępu do niektórych interfejsów API, co pozwala zdalnym atakującym na wykonywanie dowolnych metod Java za pomocą (1) ServerInvokerServlet lub (2) SchedulerService, lub powodowanie odmowy usługi (zużycie dysku) za pomocą ContentManager.

Ocena ryzyka

Podatność ta stwarza ryzyko wykonania nieautoryzowanych operacji oraz może prowadzić do odmowy usługi, co wpływa na dostępność systemu.

Rekomendacja

Zaleca się aktualizację do najnowszej wersji JBoss Operations Network, aby zlikwidować tę podatność oraz wdrożenie odpowiednich mechanizmów kontroli dostępu do interfejsów API.

Inne podatności w Red Hat JBoss Operations Network 3.3.1

CVE-2016-5422Wysokie
Konsola internetowa w Red Hat JBoss Operations Network (JON) przed wersją 3.3.7 nieautoryzuje poprawnie żądań dodawania użytkowników z rolą superużytkownika, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać uprawnienia administratora za pomocą odpowiednio skonstruowanego żądania POST.

Oryginalny opis (angielski, źródło NVD)

Red Hat JBoss Operations Network 3.3.1 does not properly restrict access to certain APIs, which allows remote attackers to execute arbitrary Java methods via the (1) ServerInvokerServlet or (2) SchedulerService or (3) cause a denial of service (disk consumption) via the ContentManager.