CVE-2017-8046
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 99 - wyżej niż 99% wszystkich znanych CVE
Streszczenie
Złośliwe żądania PATCH wysyłane do serwerów używających Spring Data REST w wersjach przed 2.6.9 (Ingalls SR9), przed 3.0.1 (Kay SR1) oraz Spring Boot przed 1.5.9 i 2.0 M6 mogą wykorzystać specjalnie spreparowane dane JSON do wykonania dowolnego kodu Java.
Ocena ryzyka
Atakujący może zdalnie uruchomić dowolny kod Java na serwerze, co prowadzi do pełnego przejęcia kontroli nad aplikacją i potencjalnie całym systemem.
Rekomendacja
Należy niezwłocznie zaktualizować Spring Data REST do wersji 2.6.9 (Ingalls SR9) lub 3.0.1 (Kay SR1) oraz Spring Boot do wersji 1.5.9 lub nowszej (2.0 M6 jest niewystarczające).
Oryginalny opis (angielski, źródło NVD)
Malicious PATCH requests submitted to servers using Spring Data REST versions prior to 2.6.9 (Ingalls SR9), versions prior to 3.0.1 (Kay SR1) and Spring Boot versions prior to 1.5.9, 2.0 M6 can use specially crafted JSON data to run arbitrary Java code.