9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Няма потвърждение
Атакува се
Няма данни
Време до експлоатация
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Експлоатация: има публичен пример за експлоатация
- Атаката може да се автоматизира
Описание
Оригинално описание
Dozer improperly uses a reflection-based approach to type conversion, which might allow remote attackers to execute arbitrary code via a crafted serialized object.
Засегнати продукти
- n/a n/a: n/a
- dozer_project dozer: до 5.5.1
История
- 29 декември 2017 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2014-9515
- https://nvd.nist.gov/vuln/detail/CVE-2014-9515
- http://www.securityfocus.com/bid/107970
- https://infocon.org/cons/SyScan/SyScan%202015%20Singapore/SyScan%202015%20Singapore%20presentations/SyScan15%20David%20Jorm%20-%20Finding%20and%20exploiting%20novel%20flaws%20in%20Java%20software.pdf
- https://github.com/DozerMapper/dozer/issues/217
- https://github.com/pentestingforfunandprofit/research/tree/master/dozer-rce
- https://github.com/DozerMapper/dozer/issues/410
- https://github.com/DozerMapper/dozer/issues/786
- https://github.com/DozerMapper/dozer/pull/447/commits/ccd550696f3df8545319ffa9c6adafc8eca2334c
- https://www.oracle.com/security-alerts/cpuApr2021.html
- https://security.netapp.com/advisory/ntap-20240719-0002/