CVE-2017-12149
KrytyczneStreszczenie
W serwerze aplikacji Jboss, dostarczanym z Red Hat Enterprise Application Platform 5.2, stwierdzono, że metoda doFilter w ReadOnlyAccessFilter HTTP Invoker nie ogranicza klas, dla których wykonuje deserializację. To pozwala atakującemu na wykonanie dowolnego kodu za pomocą spreparowanych danych serializowanych.
Ocena ryzyka
Podatność ta może prowadzić do zdalnego wykonania kodu, co stwarza poważne zagrożenie dla bezpieczeństwa aplikacji i danych organizacji.
Rekomendacja
Zaleca się aktualizację do najnowszej wersji serwera aplikacji Jboss oraz wprowadzenie dodatkowych zabezpieczeń w celu ograniczenia deserializacji nieznanych klas.
Oryginalny opis (angielski, źródło NVD)
In Jboss Application Server as shipped with Red Hat Enterprise Application Platform 5.2, it was found that the doFilter method in the ReadOnlyAccessFilter of the HTTP Invoker does not restrict classes for which it performs deserialization and thus allowing an attacker to execute arbitrary code via crafted serialized data.