CVE-2016-2173 - تنفيذ التعليمات البرمجية عن بُعد في Spring AMQP - اختبار التطبيق

الوصف

لا تتحقق الفئة org.springframework.core.serializer.DefaultDeserializer من الكائن الذي تم إلغاء تسلسله (deserialized) مقابل قائمة بيضاء (whitelist). من خلال توفير كائن مُسلسَل مُصمَّم بعناية مثل أداة (gadget) Commons Collection الخاصة بـ Chris Frohoff، يمكن تحقيق تنفيذ تعليمات برمجية عن بُعد.

الإصدارات المتأثرة

من 1.0.0 إلى 1.5.4

البائع

Spring من Pivotal

التثبيت

• Maven 3.x+
• Java 1.7+
• RabbitMQ

تشغيل التطبيق المعرض للثغرة

- mvn eclipse:eclipse
- import project
- run project (App)