阿里云
阿里云多端小程序中小企业获客首选
发表主题 回复主题
  • 12736阅读
  • 0回复

[安全漏洞公告专区]【漏洞公告】CVE-2017-12149:JbossAS 5.x/6.x 反序列化命令执行漏洞

级别: 论坛版主
发帖
241
云币
478
2017年8月30日,Redhat公司发布了一个JBossAS 5.x系统的远程代码执行严重漏洞通告,相应的漏洞编号为CVE-2017-12149。近期有安全研究者发现JBossAS 6.x也受该漏洞影响,攻击者可能利用此漏洞无需用户验证在系统上执行任意命令。 ^Bf@ I  
具体详情如下: CfNHv-jDL  

}PTYNidlR  
漏洞编号: p'fU}B1  
CVE-2017-12149 K1AI:$H  
漏洞名称: %XM wjBM  
JBossAS 5.x/6.x反序列化命令执行漏洞 s `B"qw  
官方评级: J*vy-[w  
高危 lU`]yL  
漏洞描述: ?kqo~twJ  
该漏洞存在于JBossAS的HttpInvoker 组件中的ReadOnlyAccessFilter 过滤器中。该过滤器在没有进行任何安全检查的情况下尝试将来客户端的数据流进行反序列化,从而导致了漏洞。 > SU2Jw  
漏洞利用条件和方式: -^`]tF`M  
通过PoC直接远程利用。 hz\Fq1  
PoC状态: o}C|N)'  
已公开 q90eB6G0g  
漏洞影响范围: (,#Rj$W  
JBossAS 5.x/6.x 版本 jO)UK.H#  
漏洞检测: u=JI 1  
开发人员检查是否使用了受影响版本范围内的JBossAS。 VHGOVH,  
漏洞修复建议(或缓解措施): uO%G,b  
  • 如业务不需要使用http-invoker.sar组件,建议直接删除该组件;
  • 手动添加以下代码至http-invoker.sar下web.xml的security-constraint标签中,对http invoker组件进行访问控制: <url-pattern style="box-sizing: border-box;">/*
j'Z}; 3y  
情报来源: 2It$ bz  
  • https://access.redhat.com/security/cve/cve-2017-12149
![YLY&}s  
- |n\  
[XK Ke  
[ 此帖被正禾在2017-11-23 15:50重新编辑 ]
发表主题 回复主题
« 返回列表上一主题下一主题

限100 字节
如果您提交过一次失败了,可以用”恢复数据”来恢复帖子内容
 
验证问题: 阿里云官网域名是什么? 正确答案:www.aliyun.com
上一个 下一个
      ×
      全新阿里云开发者社区, 去探索开发者的新世界吧!
      一站式的体验,更多的精彩!
      通过下面领域大门,一起探索新的技术世界吧~ (点击图标进入)