CVE-2015-4852
Oracle WebLogic Server में अविश्वसनीय डेटा के डीसेरियलाइज़ेशन की भेद्यता
- प्रकाशित
- 18 नव॰ 2015
- अद्यतन
- 21 अक्टू॰ 2025
- सीएनए असाइन करना
- oracle
- साक्ष्य देखे गए
- 20 जुल॰ 2016
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.9%
- मॉडल दिनांक
- 24 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
Oracle WebLogic Server 10.3.6.0, 12.1.2.0, 12.1.3.0 और 12.2.1.0 में WLS सुरक्षा घटक दूरस्थ हमलावरों को TCP पोर्ट 7001 पर T3 प्रोटोकॉल ट्रैफ़िक में एक विशेष रूप से तैयार सीरियलाइज़्ड Java ऑब्जेक्ट के माध्यम से मनमानी कमांड निष्पादित करने की अनुमति देता है, जो oracle_common/modules/com.bea.core.apache.commons.collections.jar से संबंधित है। नोट: इस CVE का दायरा केवल WebLogic Server उत्पाद तक सीमित है।
स्रोत
modules/exploits/multi/misc/weblogic_deserialize_rawobject.rb
Metasploit Framework modulesघोषित शर्तें
- platform: Solaris,Unix,Windows($.exploit_multi/misc/weblogic_deserialize_rawobject.platform)
- verification: check_not_declared($.exploit_multi/misc/weblogic_deserialize_rawobject.check)
- CVE-2015-4852एक्सप्लॉइट
CVE-2015-4852 (WebLogic RCE) के लिए पायथन एक्सप्लॉइट स्क्रिप्ट, जो ysoserial पेलोड का उपयोग करके कमजोर WebLogic सर्वरों पर दूरस्थ शेल एक्सेस प्राप्त करती है।
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।