CVE-2019-10086
WysokieCVSS 7.3Prawdopodobieństwo exploitacji (EPSS)
Bardzo wysokie ryzykoPercentyl 98 - wyżej niż 98% wszystkich znanych CVE
Streszczenie
W Apache Commons Beanutils 1.9.2 dodano specjalną klasę BeanIntrospector, która pozwala na zablokowanie dostępu do classloadera przez właściwość 'class' dostępną na wszystkich obiektach Java. Jednak nie była ona domyślnie używana przez PropertyUtilsBean.
Ocena ryzyka
Atakujący może wykorzystać dostęp do classloadera do przeprowadzenia ataków, takich jak zdalne wykonanie kodu lub eskalacja uprawnień.
Rekomendacja
Zaktualizuj Apache Commons Beanutils do wersji 1.9.3 lub nowszej, która domyślnie używa tej ochrony.
Oryginalny opis (angielski, źródło NVD)
In Apache Commons Beanutils 1.9.2, a special BeanIntrospector class was added which allows suppressing the ability for an attacker to access the classloader via the class property available on all Java objects. We, however were not using this by default characteristic of the PropertyUtilsBean.