CVE-2017-7504
KrytyczneStreszczenie
W pliku HTTPServerILServlet.java w warstwie wywołań JMS przez HTTP implementacji JbossMQ, która jest domyślnie włączona w Red Hat Jboss Application Server w wersjach do 4.X, nie ma ograniczeń dotyczących klas, dla których wykonywana jest deserializacja. To pozwala zdalnym atakującym na wykonanie dowolnego kodu za pomocą spreparowanych danych serializowanych.
Ocena ryzyka
Podatność ta stwarza poważne ryzyko dla organizacji, umożliwiając zdalnym atakującym uruchamianie nieautoryzowanego kodu, co może prowadzić do przejęcia kontroli nad systemem.
Rekomendacja
Zaleca się aktualizację do nowszej wersji Jboss Application Server, która naprawia tę podatność, oraz wdrożenie dodatkowych środków zabezpieczających, aby ograniczyć dostęp do serwera.
Oryginalny opis (angielski, źródło NVD)
HTTPServerILServlet.java in JMS over HTTP Invocation Layer of the JbossMQ implementation, which is enabled by default in Red Hat Jboss Application Server <= Jboss 4.X does not restrict the classes for which it performs deserialization, which allows remote attackers to execute arbitrary code via crafted serialized data.