CVE-2024-9342
KrytyczneCVSS 9.8Prawdopodobieństwo exploitacji (EPSS)
Niskie ryzykoPercentyl 32 - wyżej niż 32% wszystkich znanych CVE
Streszczenie
W wersjach Eclipse GlassFish przed 8.0.3 istnieje możliwość przeprowadzenia ataków typu brute force na logowanie, ponieważ nie ma ograniczeń dotyczących liczby nieudanych prób logowania.
Ocena ryzyka
Brak ograniczeń w próbach logowania może prowadzić do nieautoryzowanego dostępu do systemu, co stanowi poważne zagrożenie dla bezpieczeństwa organizacji.
Rekomendacja
Zaleca się aktualizację do wersji 8.0.3 lub nowszej, aby skorzystać z wbudowanej ochrony przed atakami brute force.
Inne podatności w Eclipse GlassFish
Zobacz wszystkie- CVE-2026-12605Krytyczne
W Eclipse GlassFish w wersjach 8.0.x przed 8.0.4 występuje podatność CSRF + SSRF w DownloadServlet ContentSources, która ujawnia administratorowi token `gfresttoken` na kontrolowanym przez atakującego hoście, jeśli ofiara jest uwierzytelniona w konsoli administracyjnej, co prowadzi do pełnego nieuwierzytelnionego przejęcia domeny GlassFish do czasu wygaśnięcia tokena.
- CVE-2026-2587Krytyczne
Krytyczna podatność na zdalne wykonanie kodu w mechanizmie renderowania szablonów po stronie serwera używanym przez handler gadżetów Glassfish pozwala atakującemu na wstrzyknięcie wyrażeń EL, co prowadzi do pełnego przejęcia hosta.
- CVE-2026-2586Krytyczne
Zidentyfikowano podatność na zdalne wykonanie kodu (RCE) w konsoli administracyjnej GlassFish. Użytkownik mający dostęp do panelu może wysłać spreparowane żądania, które umożliwiają wykonanie dowolnych poleceń systemu operacyjnego z uprawnieniami użytkownika usługi aplikacji. Problem dotyczy Eclipse GlassFish: od 8.0.0 do 8.0.1 (poprawione w 8.0.2), 7.1.0 (poprawione w 7.1.1), od 7.0.0 do 7.0.25 (poprawione w 7.0.26). Wpływ na wersje od 5.1.0 do 6.2.5 jest nieznany.
- CVE-2022-2712Średnie
Podatność względnego przechodzenia po ścieżkach (relative path traversal) w Eclipse GlassFish wersje 5.1.0 do 6.2.5. Nieuwierzytelniony atakujący zdalnie może uzyskać dostęp do plików konfiguracyjnych i kodu źródłowego aplikacji. Naprawione w GlassFish 7.0.0.
Oryginalny opis (angielski, źródło NVD)
In Eclipse GlassFish versions before 8.0.3 it is possible to perform Login Brute Force attacks as there is no limitation in the number of failed login attempts. GlassFish 8.0.3 adds automatic attack protection documented in https://glassfish.org/docs/latest/security-guide.html#brute-force-attack-protection .
Dane podatności pochodzą z NVD (NIST) · CISA KEV · EPSS