CVE-2015-7450
KrytyczneStreszczenie
Interfejsy obiektów zserializowanych w niektórych produktach IBM, takich jak analityka, rozwiązania biznesowe, kognitywne, infrastruktura IT oraz produkty mobilne i społeczne, umożliwiają zdalnym atakującym wykonanie dowolnych poleceń za pomocą spreparowanego zserializowanego obiektu Java, związane z klasą InvokerTransformer w bibliotece Apache Commons Collections.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, ponieważ umożliwia zdalne wykonanie nieautoryzowanych poleceń, co może prowadzić do utraty danych lub przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację produktów IBM do najnowszych wersji, które eliminują tę podatność oraz wdrożenie odpowiednich zabezpieczeń, aby ograniczyć możliwość zdalnego wykonywania poleceń.
Oryginalny opis (angielski, źródło NVD)
Serialized-object interfaces in certain IBM analytics, business solutions, cognitive, IT infrastructure, and mobile and social products allow remote attackers to execute arbitrary commands via a crafted serialized Java object, related to the InvokerTransformer class in the Apache Commons Collections library.