CVE-2015-8965
KrytyczneStreszczenie
Rogue Wave JViews przed wersją 8.8 patch 21 oraz 8.9 przed patch 1 umożliwia zdalnym atakującym wykonanie dowolnego kodu Java, który znajduje się w classpath. Problem wynika z braku wymogu konfiguracji serwletów, które mogą być wywoływane przez ilog.views.faces.IlvFacesController.
Ocena ryzyka
Atakujący mogą wykorzystać tę podatność do uruchomienia złośliwego kodu, co może prowadzić do przejęcia kontroli nad systemem lub wycieku danych.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji Rogue Wave JViews oraz skonfigurowanie serwletów w celu ograniczenia dostępu do tylko zaufanych komponentów.
Oryginalny opis (angielski, źródło NVD)
Rogue Wave JViews before 8.8 patch 21 and 8.9 before patch 1 allows remote attackers to execute arbitrary Java code that exists in the classpath, such as test code or administration code. The issue exists because the ilog.views.faces.IlvFacesController servlet in jviews-framework-all.jar does not require explicit configuration of servlets that can be called.