CVE-2025-2251
ŚrednieCVSS 6.2Prawdopodobieństwo exploitacji (EPSS)
Podwyższone ryzykoPercentyl 53 - wyżej niż 53% wszystkich znanych CVE
Streszczenie
Podatność w WildFly i JBoss EAP w mechanizmie zdalnego wywoływania EJB wynika z deserializacji niezaufanych danych przez JBoss Marshalling. Umożliwia ona atakującemu wysłanie specjalnie spreparowanego obiektu, co prowadzi do zdalnego wykonania kodu bez uwierzytelnienia.
Ocena ryzyka
Ryzyko dla organizacji obejmuje możliwość całkowitego przejęcia serwera aplikacyjnego przez nieuwierzytelnionego atakującego, co może skutkować utratą danych, przerwaniem działania usług i naruszeniem bezpieczeństwa infrastruktury.
Rekomendacja
Zaleca się natychmiastową aktualizację WildFly i JBoss EAP do wersji zawierających poprawkę oraz ograniczenie dostępu do zdalnego wywoływania EJB tylko dla zaufanych sieci.
Oryginalny opis (angielski, źródło NVD)
A security flaw exists in WildFly and JBoss Enterprise Application Platform (EAP) within the Enterprise JavaBeans (EJB) remote invocation mechanism. This vulnerability stems from untrusted data deserialization handled by JBoss Marshalling. This flaw allows an attacker to send a specially crafted serialized object, leading to remote code execution without requiring authentication.