CVE-2020-2655

मध्यमप्रकाशित

प्रकाशित: 15 जन॰ 2020
अद्यतन: 30 सित॰ 2024
सीएनए असाइन करना: oracle
साक्ष्य देखे गए: 7 अग॰ 2026

प्राथमिक सीवीएसएस

4.8/ 10मध्यम

nvd · CVSS 3.1

CVSS:3.1/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N

ईपीएसएस संभाव्यता अनुमान

3.6%

कम · अगले 30 दिन

प्रतिशत: 89.0%
मॉडल दिनांक: 21 सित॰ 2026

ईपीएसएस एक सांख्यिकीय अनुमान है, कोई निश्चितता या प्रभाव का माप नहीं। इसे सीवीएसएस, केईवी स्थिति, एक्सपोज़र और अपने वातावरण के साथ मिलाएं।

सारांश

Oracle Java SE के Java SE उत्पाद में भेद्यता (घटक: JSSE)। प्रभावित समर्थित संस्करण Java SE: 11.0.5 और 13.0.1 हैं। शोषण करने में कठिन यह भेद्यता, HTTPS के माध्यम से नेटवर्क पहुंच रखने वाले बिना प्रमाणीकरण वाले हमलावर को Java SE से समझौता करने की अनुमति देती है। इस भेद्यता के सफल हमलों के परिणामस्वरूप Java SE की सुलभ कुछ डेटा तक अनधिकृत अद्यतन, सम्मिलित या हटाने की पहुंच, साथ ही Java SE की सुलभ डेटा के एक उपसमुच्चय तक अनधिकृत पढ़ने की पहुंच प्राप्त हो सकती है। नोट: यह भेद्यता Java परिनियोजनों पर लागू होती है, आमतौर पर उन क्लाइंट्स में जो सैंडबॉक्सयुक्त Java Web Start अनुप्रयोग या सैंडबॉक्सयुक्त Java एप्लेट (Java SE 8 में) चलाते हैं, जो अविश्वसनीय कोड (जैसे, इंटरनेट से आने वाला कोड) लोड और चलाते हैं तथा सुरक्षा के लिए Java सैंडबॉक्स पर निर्भर करते हैं। इस भेद्यता का शोषण निर्दिष्ट घटक में APIs का उपयोग करके भी किया जा सकता है, उदाहरण के लिए, एक वेब सेवा के माध्यम से जो APIs को डेटा आपूर्ति करती है। CVSS 3.0 आधार स्कोर 4.8 (गोपनीयता और अखंडता पर प्रभाव)। CVSS वेक्टर: (CVSS:3.0/AV:N/AC:H/PR:N/UI:N/S:U/C:L/I:L/A:N)।

स्रोत

CVE-2020-2655-DemoServerPoC
CVE-2020-2655 के लिए प्रदर्शन सर्वर, एक Java डिसीरियलाइज़ेशन भेद्यता, जो सुरक्षा परीक्षण और शोध के लिए एक असुरक्षित एंडपॉइंट प्रदान करता है।

जिम्मेदारीपूर्ण उपयोग

भेद्यता जानकारी का उपयोग केवल उन प्रणालियों पर करें जिनके मालिक आप हैं या परीक्षण के लिए अधिकृत हैं। किटप्लॉइट सार्वजनिक अनुसंधान मेटाडेटा से लिंक करता है और शोषण कोड या दुर्भावनापूर्ण पेलोड को संग्रहीत नहीं करता है।