9.8
CVSS 3.1
Няма данни
Вероятност да бъде експлоатирана в следващите 30 дни (EPSS)
Да
Атакува се
в каталога KEV от 10 декември 2021
Атакува се в момента
1528 дни
Време до експлоатация
след публикуването
Атакува се по мрежата, без особени условия, без вход и без действие от потребителя.
- Използва се в рансъмуер атаки
- Експлоатация: активно се експлоатира
- Атаката може да се автоматизира
Описание
Оригинално описание
In Jboss Application Server as shipped with Red Hat Enterprise Application Platform 5.2, it was found that the doFilter method in the ReadOnlyAccessFilter of the HTTP Invoker does not restrict classes for which it performs deserialization and thus allowing an attacker to execute arbitrary code via crafted serialized data.
Засегнати продукти
- Red Hat, Inc. jbossas: n/a
Вид слабост
История
- 4 октомври 2017 Публикувано
Първоизточници
- https://www.cve.org/CVERecord?id=CVE-2017-12149
- https://nvd.nist.gov/vuln/detail/CVE-2017-12149
- https://bugzilla.redhat.com/show_bug.cgi?id=1486220
- https://access.redhat.com/errata/RHSA-2018:1608
- https://github.com/gottburgm/Exploits/tree/master/CVE-2017-12149
- http://www.securityfocus.com/bid/100591
- https://access.redhat.com/errata/RHSA-2018:1607
- https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2017-12149