JBoss远程代码执行缝隙安全公告

颁布功夫 2018-11-09

缝隙编号和级别


CVE编号：CVE-2018-14667，， ，， ，，，，危险级别：高危，， ，， ，，，，CVSS分值：厂商自评 9.8，， ，， ，，，，官方未评定


影响版本


RichFaces Framework 3.X到3.3.4


缝隙概述


RichFaces Framework 3.X到3.3.4很容易通过UserResource资源注入表白式说话（EL）。。。。。 。。。 远程未经身份验证的攻击者能够通过org.ajax4jsf.resource.UserResource $ UriData使用一系列java序列化对象来利用它来执行肆意代码。。。。。 。。。


缝隙验证


暂无POC/EXP


建复建议


.RedHat官方已经颁布了新版本建复了该缝隙，， ，， ，，，，请受影响的用户实时更新版本，， ，， ，，，，形成对此缝隙持久有效的防护。。。。。 。。。
https://access.redhat.com/errata/RHSA-2018:3517

https://access.redhat.com/errata/RHSA-2018:3518


参考链接


https://securitytracker.com/id/1042037