开发者社区> 问答> 正文

【漏洞公告】CVE-2017-12149:JbossAS 5.x/6.x 反序列化命令执行漏洞

正禾 2017-11-23 15:48:55 12827
2017年8月30日,Redhat公司发布了一个JBossAS 5.x系统的远程代码执行严重漏洞通告,相应的漏洞编号为CVE-2017-12149。近期有安全研究者发现JBossAS 6.x也受该漏洞影响,攻击者可能利用此漏洞无需用户验证在系统上执行任意命令。
具体详情如下:


漏洞编号:
CVE-2017-12149
漏洞名称:
JBossAS 5.x/6.x反序列化命令执行漏洞
官方评级:
高危
漏洞描述:
该漏洞存在于JBossAS的HttpInvoker 组件中的ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来自客户端的数据流进行反序列化,从而导致了漏洞。
漏洞利用条件和方式:
通过PoC直接远程利用。
PoC状态:
已公开
漏洞影响范围:
JBossAS 5.x/6.x 版本
漏洞检测:
开发人员检查是否使用了受影响版本范围内的JBossAS。
漏洞修复建议(或缓解措施):
  • 如业务不需要使用http-invoker.sar组件,建议直接删除该组件;
  • 手动添加以下代码至http-invoker.sar下web.xml的security-constraint标签中,对http invoker组件进行访问控制: <url-pattern style="box-sizing: border-box;">/*

情报来源:
  • https://access.redhat.com/security/cve/cve-2017-12149



安全 Linux 数据安全/隐私保护
分享到
取消 提交回答
全部回答(0)
+ 订阅

云安全开发者的大本营

推荐文章
相似问题
推荐课程