CVE-2017-7504
HTTPServerILServlet.java Red Hat Jboss Application Server <= Jboss 4.X में डिफ़ॉल्ट रूप से सक्षम JbossMQ कार्यान्वयन के JMS over HTTP Invocation Layer में स्थित...
- प्रकाशित
- 19 मई 2017
- अद्यतन
- 5 अग॰ 2024
- सीएनए असाइन करना
- redhat
- साक्ष्य देखे गए
- 8 अग॰ 2026
प्राथमिक सीवीएसएस
nvd · CVSS 3.0
CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:Hमध्यम · अगले 30 दिन
- प्रतिशत
- 98.6%
- मॉडल दिनांक
- 14 अक्टू॰ 2026
ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।
सारांश
# HTTPServerILServlet.java Red Hat Jboss Application Server <= Jboss 4.X में डिफ़ॉल्ट रूप से सक्षम JbossMQ कार्यान्वयन के JMS over HTTP Invocation Layer में स्थित HTTPServerILServlet.java, उन कक्षाओं (classes) को प्रतिबंधित नहीं करता है जिनके लिए यह डिसीरियलाइज़ेशन (deserialization) करता है, जिससे दूरस्थ हमलावरों को क्राफ्टेड सीरियलाइज़्ड डेटा के माध्यम से मनमाना कोड निष्पादित करने की अनुमति मिलती है।
स्रोत
http/cves/2017/CVE-2017-7504.yaml
Nuclei Templatesघोषित शर्तें
- network: http($.protocol_keys)
- verification: status,word($.matchers[*].type)
jboss/CVE-2017-7504
JBoss 4.x JBossMQ JMS Deserialization Remote Code Execution (CVE-2017-7504)
Vulhub vulnerability labsघोषित शर्तें
- lab image version: vulhub/jboss:as-4.0.5(jboss/CVE-2017-7504/docker-compose.yml:services.jboss.image)
जिम्मेदारीपूर्ण उपयोग
भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।