CVE-2017-12149
रेड हैट एंटरप्राइज़ एप्लिकेशन प्लेटफ़ॉर्म 5.2 के साथ वितरित Jboss Application Server में, यह पाया गया कि HTTP Invoker के ReadOnlyAccessFilter में मौजूद doFilter विधि उन क्लासों को प्रतिबंधित नहीं करती जिनके...
- प्रकाशित
- 4 अक्टू॰ 2017
- अद्यतन
- 7 अक्टू॰ 2026
- सीएनए असाइन करना
- redhat
- साक्ष्य देखे गए
- 10 दिस॰ 2021
प्राथमिक सीवीएसएस
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hउच्च · अगले 30 दिन
- प्रतिशत
- 99.8%
- मॉडल दिनांक
- 24 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सीआईएसए ज्ञात शोषण
यह सीवीई सीआईएसए ज्ञात शोषित कमजोरियों की सूची में दिखाई देता है।
सारांश
रेड हैट एंटरप्राइज़ एप्लिकेशन प्लेटफ़ॉर्म 5.2 के साथ वितरित Jboss Application Server में, यह पाया गया कि HTTP Invoker के ReadOnlyAccessFilter में मौजूद doFilter विधि उन क्लासों को प्रतिबंधित नहीं करती जिनके लिए यह deserialization करती है, जिससे एक हमलावर तैयार किए गए सीरियलाइज़्ड डेटा के माध्यम से मनमाना कोड निष्पादित कर सकता है।
स्रोत
- JBoss Vulnerability Scannerमॉड्यूल
modules/auxiliary/scanner/http/jboss_vulnscan.rb
Metasploit Framework modulesघोषित शर्तें
- verification: check_not_declared($.auxiliary_scanner/http/jboss_vulnscan.check)
http/cves/2017/CVE-2017-12149.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
jboss/CVE-2017-12149
JBoss 5.x/6.x Deserialization Remote Code Execution (CVE-2017-12149)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/jboss:as-6.1.0(jboss/CVE-2017-12149/docker-compose.yml:services.jboss.image)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।