CVE-2022-1471
Esecuzione di codice remoto in SnakeYAML
- Pubblicato
- 1 dic 2022
- Aggiornato
- 18 giu 2025
- Assegnazione CNA
- Evidenza osservata
- 7 ago 2026
CVSS primario
nvd · CVSS 3.1
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:HAlto · prossimi 30 giorni
- Percentile
- 99,9%
- Data del modello
- 21 set 2026
L'EPSS è una stima statistica, non una certezza o una misura di impatto. Combinalo con CVSS, stato KEV, esposizione e ambiente.
Riepilogo
La classe Constructor() di SnakeYaml non limita i tipi che possono essere istanziati durante la deserializzazione. Deserializzare contenuto yaml fornito da un attaccante può portare all'esecuzione di codice remoto. Si consiglia di utilizzare SafeConsturctor di SnakeYaml durante l'analisi di contenuti non attendibili per limitare la deserializzazione. Si consiglia di effettuare l'upgrade alla versione 2.0 e successive.
Fonti
7Codice per il blog di Veracode
- cve-2022-1471-jira-labRicerca
Laboratorio offline CVE-2022-1471: deserializzazione non sicura di SnakeYAML verso RCE; confronta la versione vulnerabile 1.x con la versione corretta 2.x utilizzando un payload locale innocuo.
- yaml-payloadExploit
Payload di exploit SnakeYAML CVE-2022-1471 per demo
Utilizzo responsabile
Utilizza le informazioni sulla vulnerabilità solo sui sistemi che possiedi o che sei autorizzato a testare. Kitploit si collega ai metadati della ricerca pubblica e non memorizza codici exploit o payload dannosi.