搜索

[1369] 2017-11-23_关于6.x版本JBOSSApplicationServer存在反序列化命令执行漏洞的安全公告

文档创建者：s7ckTeam
浏览次数：51
最后更新：2025-01-16
2017-11-23_关于6.x版本JBOSSApplicationServer存在反序列化命令执行漏洞的安全公告 关 于 6 . x 版 本 J B O S S   A p p l i c a t i o n   S e r v e r 存 在 反 序 列 化 命 令 执 行 漏 洞 的 安 全 公 告 C N V D 漏 洞 平 台   2 0 1 7 - 1 1 - 2 3 2 0 1 7 年 9 月 1 4 日 ， 国 家 信 息 安 全 漏 洞 共 享 平 台 （ C N V D ） 收 录 了 J B O S S   A p p l i c a t i o n   S e r v e r 反 序 列 化 命 令 执 行 漏 洞 （ C N V D - 2 0 1 7 - 3 3 7 2 4 ， 对 应 C V E - 2 0 1 7 - 1 2 1 4 9 ） ， 远 程 攻 击 者 利 用 漏 洞 可 在 未 经 任 何 身 份 验 证 的 服 务 器 主 机 上 执 行 任 意 代 码 。 漏 洞 细 节 和 验 证 代 码 已 公 开 ， 近 期 被 不 法 分 子 利 用 出 现 大 规 模 攻 击 尝 试 的 可 能 性 较 大 。 一 、 漏 洞 情 况 分 析 一 、 漏 洞 情 况 分 析 J B O S S   A p p l i c a t i o n   S e r v e r 是 一 个 基 于 J 2 E E 的 开 放 源 代 码 的 应 用 服 务 器 。   J B o s s 代 码 遵 循 L G P L 许 可 ， 可 以 在 任 何 商 业 应 用 中 免 费 使 用 ， 2 0 0 6 年 ， J B o s s 被 R e d h a t 公 司 收 购 。   2 0 1 7 年 8 月 3 0 日 ， 厂 商 R e d h a t 发 布 了 一 个 J B O S S A S 5 . x   的 反 序 列 化 远 程 代 码 执 行 漏 洞 通 告 。 该 漏 洞 位 于 J B o s s 的 H t t p I n v o k e r 组 件 中 的   R e a d O n l y A c c e s s F i l t e r   过 滤 器 中 ， 其 d o F i l t e r 方 法 在 没 有 进 行 任 何 安 全 检 查 和 限 制 的 情 况 下 尝 试 将 来 自 客 户 端 的 序 列 化 数 据 流 进 行 反 序 列 化 ， 导 致 攻 击 者 可 以 通 过 精 心 设 计 的 序 列 化 数 据 来 执 行 任 意 代 码 。 但 近 期 有 安 全 研 究 者 发 现 J B O S S A S   6 . x 也 受 该 漏 洞 影 响 ， 攻 击 者 利 用 该 漏 洞 无 需 用 户 验 证 在 系 统 上 执 行 任 意 命 令 ， 获 得 服 务 器 的 控 制 权 。 C N V D 对 该 漏 洞 的 综 合 评 级 为 “ 高 危 ” 。 二 、 漏 洞 影 响 范 围 二 、 漏 洞 影 响 范 围 该 漏 洞 影 响 5 . x 和 6 . x 版 本 的 J B O S S A S 。 目 前 评 估 潜 在 受 影 响 主 机 数 量 超 过 5 0 0 0 台 。 三 、 防 护 建 议 三 、 防 护 建 议 升 级 到 J B O S S   A S 7 临 时 解 决 方 案 ： 1 . 不 需 要   h t t p - i n v o k e r . s a r   组 件 的 用 户 可 直 接 删 除 此 组 件 。 2 . 添 加 如 下 代 码 至   h t t p - i n v o k e r . s a r   下   w e b . x m l   的   s e c u r i t y - c o n s t r a i n t   标 签 中 ： < u r l - p a t t e r n > / * < / u r l - p a t t e r n > 用 于 对   h t t p i n v o k e r   组 件 进 行 访 问 控 制 。 附 ： 参 考 链 接 ： h t t p s : / / a c c e s s . r e d h a t . c o m / s e c u r i t y / c v e / c v e - 2 0 1 7 - 1 2 1 4 9 h t t p : / / c v e . m i t r e . o r g / c g i - b i n / c v e n a m e . c g i ? n a m e = C V E - 2 0 1 7 - 1 2 1 4 9 h t t p : / / w w w . c n v d . o r g . c n / f l a w / s h o w / C N V D - 2 0 1 7 - 3 3 7 2 4
回复

举报

高级模式
B Color Image Link Quote Code Smilies
您需要登录后才可以回帖 登录 | 立即注册

本版积分规则

Archiver| 手机版| 小黑屋|
Powered by Discuz! X3.4 Copyright © 2001-2020, Tencent Cloud. 商业源码建议获取授权，如侵犯您的权益，请联系客服处理