CVE-2023-51518 : Désérialisation Java non authentifiée via JMX dans Apache James

Les distributions Apache James antérieures aux versions 3.7.5 et 3.8.1 permettent une élévation de privilèges via la désérialisation de pré-authentification JMX. Avec un gadget de désérialisation, cela peut être exploité dans le cadre d'une chaîne d'attaque pouvant entraîner une élévation de privilèges.

Note : Pour les serveurs Apache James fonctionnant avec des versions de Java <16, le gadget ysoserial « CommonsBeanutils1 » peut être utilisé pour exécuter des commandes système arbitraires. Pour les versions de Java >=16, un vecteur alternatif doit être identifié, comme expliqué dans cet article.

Divulgation du fournisseur :

La divulgation du fournisseur et le correctif pour cette vulnérabilité sont disponibles ici.

Preuve de concept :

Plus de détails et le processus d'exploitation sont disponibles dans ce PDF.