CVE-2017-4995

Wysokie

Opublikowano: 27/11/2017(UTC)Przetłumaczono: 15/06/2026(UTC)NVD NIST

Streszczenie

W Pivotal Spring Security w wersjach od 4.2.0.RELEASE do 4.2.2.RELEASE oraz 5.0.0.M1 odkryto podatność na deserializację, która może prowadzić do wykonania dowolnego kodu. Problem występuje, gdy domyślne typowanie Jacksona jest włączone, co umożliwia wykorzystanie nieznanych 'gadżetów deserializacyjnych'.

Ocena ryzyka

Organizacje mogą być narażone na wykonanie dowolnego kodu, jeśli używają Spring Security z włączonym domyślnym typowaniem Jacksona i deserializują niezaufane dane. To może prowadzić do poważnych naruszeń bezpieczeństwa.

Rekomendacja

Zaleca się wyłączenie domyślnego typowania Jacksona w konfiguracji Spring Security oraz unikanie deserializacji niezaufanych danych. Należy również zaktualizować do najnowszej wersji, aby skorzystać z poprawek bezpieczeństwa.

Inne podatności w Pivotal Spring Security

CVE-2016-9879Wysokie
W Pivotal Spring Security przed wersją 3.2.10, 4.1.x przed 4.1.4 oraz 4.2.x przed 4.2.1 odkryto problem związany z brakiem uwzględnienia parametrów ścieżki URL przy przetwarzaniu ograniczeń bezpieczeństwa. Atakujący może obejść te ograniczenia, dodając zakodowany parametr '/' do żądania.

Oryginalny opis (angielski, źródło NVD)

An issue was discovered in Pivotal Spring Security 4.2.0.RELEASE through 4.2.2.RELEASE, and Spring Security 5.0.0.M1. When configured to enable default typing, Jackson contained a deserialization vulnerability that could lead to arbitrary code execution. Jackson fixed this vulnerability by blacklisting known "deserialization gadgets." Spring Security configures Jackson with global default typing enabled, which means that (through the previous exploit) arbitrary code could be executed if all of the following is true: (1) Spring Security's Jackson support is being leveraged by invoking SecurityJackson2Modules.getModules(ClassLoader) or SecurityJackson2Modules.enableDefaultTyping(ObjectMapper); (2) Jackson is used to deserialize data that is not trusted (Spring Security does not perform deserialization using Jackson, so this is an explicit choice of the user); and (3) there is an unknown (Jackson is not blacklisting it already) "deserialization gadget" that allows code execution present o