CVE-2013-2185
Açıklama
Red Hat JBoss Enterprise Application Platform 6.1.0 ve Red Hat JBoss Portal 6.0.0 içerisinde kullanılan Apache Tomcat ve JBoss Web'deki DiskFileItem sınıfının readObject metodu, serileştirilmiş bir örnekteki dosya adında bulunan bir NULL baytı aracılığıyla uzaktaki saldırganların rastgele dosyalara yazmasına izin verir; bu durum CVE-2013-2186 ile benzer bir sorundur. NOT: Bu sorun, Red Hat tarafından bir güvenlik açığı olarak değerlendirilse de Apache Tomcat ekibi tarafından tartışmalı olduğu bildirilmiştir. Tartışmanın, güvenilmeyen verilerin serisizleştirilmek üzere sağlanmasını önlemenin uygulamaların sorumluluğu olup olmadığı veya bu sınıfın doğası gereği bu soruna karşı koruma sağlayıp sağlamamasıyla ilgili olduğu görülmektedir.
Nasıl düzeltilir
- org.apache.tomcat:tomcat7.0.39 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache tomcat | v ≤ 7.0.39 | — |
| redhat jboss_enterprise_application_platform | 6.1.0 | — |
| redhat jboss_enterprise_portal_platform | 6.0.0 | — |
| org.apache.tomcat:tomcatMaven | v < 7.0.39 | 7.0.39 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.