CVE-2023-34050
ثغرة إلغاء التسلسل في Spring AMQP
- تم النشر
- 19/10/2023
- محدث
- 12/09/2024
- تخصيص CNA
- vmware
- الأدلة المرصودة
- 08/08/2026
CVSS الأساسي
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:H/PR:H/UI:N/S:U/C:N/I:L/A:Hمنخفض · الثلاثين يومًا القادمة
- المئوية
- 74.2%
- تاريخ الموديل
- 17/10/2026
EPSS هو تقدير إحصائي، وليس يقينًا أو مقياسًا للتأثير. ادمجها مع CVSS وحالة KEV والتعرض وبيئتك.
ملخص
في إصدارات Spring AMQP من 1.0.0 إلى 2.4.16 ومن 3.0.0 إلى 3.0.9، تمت إضافة أنماط القائمة المسموح بها لأسماء الفئات القابلة لإلغاء التسلسل إلى Spring AMQP، مما يسمح للمستخدمين بتقييد إلغاء تسلسل البيانات في الرسائل الواردة من مصادر غير موثوقة؛ ومع ذلك، بشكل افتراضي، عندما لا يتم توفير قائمة مسموح بها، يمكن إلغاء تسلسل جميع الفئات. على وجه التحديد، يكون التطبيق عرضة للخطر إذا * تم استخدام SimpleMessageConverter أو SerializerMessageConverter * لم يقم المستخدم بتكوين أنماط القائمة المسموح بها * حصلت مصادر الرسائل غير الموثوقة على أذونات لكتابة الرسائل إلى وسيط RabbitMQ لإرسال محتوى ضار
المصادر
إثبات المفهوم (PoC) لثغرة إلغاء تسلسل Spring AMQP (CVE-2023-34050)
الاستخدام المسؤول
استخدم معلومات الثغرات الأمنية فقط على الأنظمة التي تمتلكها أو المرخص لها باختبارها. يرتبط Kitploit ببيانات تعريف البحث العامة ولا يخزن أكواد الاستغلال أو الحمولات الضارة.