CVE-2017-5641
Açıklama
Apache Flex BlazeDS'in önceki sürümleri (4.7.2 ve öncesi), varsayılan olarak AMF(X) nesne serisizleştirmesi için hangi türlere izin verileceğini kısıtlamamıştır. Serisizleştirme işlemi sırasında, bilinen birkaç tür için istenmeyen yan etkilere sahip olan kodlar yürütülür. Bilinmeyen diğer türler de benzer davranışlar sergileyebilir. Java standart kitaplığında, bir saldırganın güvenilmeyen verilerin muhtemelen daha fazla istismar edilebilir Java serisizleştirmesini tetiklemesine olanak tanıyan bir vektör bulunmaktadır. Üçüncü taraf kitaplıklardaki diğer bilinen vektörler, uzaktan kod çalıştırmayı tetiklemek için kullanılabilir.
Nasıl düzeltilir
- hp xp_command_view_advanced_edition8.5.3-00 ya da sonraki bir sürüm
- org.apache.flex.blazeds:flex-messaging-core4.7.3 ya da sonraki bir sürüm
- org.apache.flex.blazeds:flex-messaging-remoting4.7.3 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache flex_blazeds | v ≤ 4.7.2 | — |
| hp xp_command_view_advanced_edition | v < 8.5.3-00 | 8.5.3-00 |
| org.apache.flex.blazeds:flex-messaging-coreMaven | v < 4.7.3 | 4.7.3 |
| org.apache.flex.blazeds:flex-messaging-remotingMaven | v < 4.7.3 | 4.7.3 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.