CVE-2018-8039

उच्चप्रकाशित

प्रकाशित: 2 जुल॰ 2018
अद्यतन: 17 सित॰ 2024
सीएनए असाइन करना: apache
साक्ष्य देखे गए: 5 अग॰ 2026

प्राथमिक सीवीएसएस

8.1/ 10उच्च

nvd · CVSS 3.0

CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:H/I:H/A:H

ईपीएसएस संभाव्यता अनुमान

7.6%

कम · अगले 30 दिन

प्रतिशत: 94.4%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Apache CXF को com.sun.net.ssl कार्यान्वयन का उपयोग करने के लिए 'System.setProperty("java.protocol.handler.pkgs", "com.sun.net.ssl.internal.www.protocol");' के माध्यम से कॉन्फ़िगर करना संभव है। जब यह सिस्टम प्रॉपर्टी सेट की जाती है, तो CXF पुराने com.sun.net.ssl.HostnameVerifier इंटरफ़ेस के साथ HostnameVerifier को काम करने के लिए कुछ रिफ्लेक्शन का उपयोग करता है। हालाँकि, CXF में डिफ़ॉल्ट HostnameVerifier कार्यान्वयन इस इंटरफ़ेस में मौजूद विधि को लागू नहीं करता है, और एक अपवाद (exception) उत्पन्न होता है। लेकिन, Apache CXF 3.2.5 और 3.1.16 से पहले के संस्करणों में, यह अपवाद रिफ्लेक्शन कोड में पकड़ लिया जाता है और ठीक से प्रचारित (propagated) नहीं होता है। इसका अर्थ यह है कि यदि आप CXF के साथ com.sun.net.ssl स्टैक का उपयोग कर रहे हैं, तो TLS होस्टनेम सत्यापन में त्रुटि उत्पन्न नहीं होगी, जिससे CXF क्लाइंट मैन-इन-द-मिडिल (man-in-the-middle) हमलों के प्रति संवेदनशील रह जाता है।

स्रोत

CVE-2018-8039एक्सप्लॉइट
CVE-2018-8039 के लिए प्रूफ-ऑफ-कॉन्सेप्ट एक्सप्लॉइट, एक Apache CXF दूरस्थ कोड निष्पादन भेद्यता जो SOAP और REST API सेवाओं को प्रभावित करती है।

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।