CVE-2016-5422

Wysokie

Opublikowano: 07/09/2016(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

Konsola internetowa w Red Hat JBoss Operations Network (JON) przed wersją 3.3.7 nieautoryzuje poprawnie żądań dodawania użytkowników z rolą superużytkownika, co pozwala zdalnym uwierzytelnionym użytkownikom uzyskać uprawnienia administratora za pomocą odpowiednio skonstruowanego żądania POST.

Ocena ryzyka

Podatność ta może prowadzić do nieautoryzowanego dostępu do zasobów administracyjnych, co stwarza poważne zagrożenie dla bezpieczeństwa systemu.

Rekomendacja

Zaleca się aktualizację Red Hat JBoss Operations Network do wersji 3.3.7 lub nowszej, aby usunąć tę lukę w autoryzacji.

Inne podatności w Red Hat JBoss Operations Network

CVE-2015-0297Wysokie
Red Hat JBoss Operations Network w wersji 3.3.1 nie ogranicza prawidłowo dostępu do niektórych interfejsów API, co pozwala zdalnym atakującym na wykonywanie dowolnych metod Java za pomocą (1) ServerInvokerServlet lub (2) SchedulerService, lub powodowanie odmowy usługi (zużycie dysku) za pomocą ContentManager.

Oryginalny opis (angielski, źródło NVD)

The web console in Red Hat JBoss Operations Network (JON) before 3.3.7 does not properly authorize requests to add users with the super user role, which allows remote authenticated users to gain admin privileges via a crafted POST request.