Le JBoss Application Server, livré avec Red Hat Enterprise Application Platform 5.2, permet à un attaquant d'exécuter du code arbitraire via des données sérialisées spécialement conçues.
Action requise :Appliquer les mises à jour selon les instructions de l'éditeur.
Score CVSS 3.1 : 9,8 sur 10, gravité critique CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Exploitable à distance, par le réseau, sans compte, sans action de la victime.
Probabilité d’exploitation dans les 30 jours (EPSS) : 90,7 %, parmi les 0,2 % de CVE les plus susceptibles d’être exploitées
Versions concernées
jboss enterprise application platform : toutes versions
jboss enterprise application platform : 8 versions, de 5.0.0 à 5.2.2
D’après la NVD. Vérifiez toujours l’avis de l’éditeur, qui fait foi.
Type de faiblesse
Désérialisation de données non fiables (CWE-502) : Le produit désérialise des données non fiables sans garantir suffisamment que les données résultantes seront valides.
Chronologie
— Publication de la CVE
— Exploitation confirmée : ajout au catalogue KEV de la CISA
— Échéance de correction pour les agences fédérales américaines
Sources : catalogue KEV de la CISA (CC0), NVD (NIST), EPSS (FIRST.org), CWE (MITRE). Données mises à jour automatiquement.
Texte original de la CISA (anglais)
Red Hat JBoss Application Server Remote Code Execution Vulnerability
The JBoss Application Server, shipped with Red Hat Enterprise Application Platform 5.2, allows an attacker to execute arbitrary code via crafted serialized data.
Required action: Apply updates per vendor instructions.