【漏洞公告】CVE-2017-12149:JbossAS 5.x/6.x 反序列化命令执行漏洞
2017年8月30日，Redhat公司发布了一个JBossAS 5.x系统的远程代码执行严重漏洞通告，相应的漏洞编号为CVE-2017-12149。近期有安全研究者发现JBossAS 6.x也受该漏洞影响，攻击者可能利用此漏洞无需用户验证在系统上执行任意命令。
具体详情如下:
漏洞编号:
CVE-2017-12149
漏洞名称:
JBossAS 5.x/6.x反序列化命令执行漏洞
官方评级:
高危
漏洞描述:
该漏洞存在于JBossAS的HttpInvoker 组件中的ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化，从而导致了漏洞。
漏洞利用条件和方式:
通过PoC直接远程利用。
PoC状态:
已公开
漏洞影响范围:
JBossAS 5.x/6.x 版本
漏洞检测:
开发人员检查是否使用了受影响版本范围内的JBossAS。
漏洞修复建议(或缓解措施):
- 如业务不需要使用http-invoker.sar组件，建议直接删除该组件;
- 手动添加以下代码至http-invoker.sar下web.xml的security-constraint标签中，对http invoker组件进行访问控制： <url-pattern style="box-sizing: border-box;">/*
情报来源:
- https://access.redhat.com/security/cve/cve-2017-12149
展开
收起
版权声明：本文内容由阿里云实名注册用户自发贡献，版权归原作者所有，阿里云开发者社区不拥有其著作权，亦不承担相应法律责任。具体规则请查看《阿里云开发者社区用户服务协议》和《阿里云开发者社区知识产权保护指引》。如果您发现本社区中有涉嫌抄袭的内容，填写侵权投诉表单进行举报，一经查实，本社区将立刻删除涉嫌侵权内容。
相关问答
