JBoss远程代码执行缝隙安全公告

颁布功夫 2018-11-09

缝隙编号和级别


CVE编号：CVE-2018-14667，危险级别：高危，CVSS分值：厂商自评 9.8，官方未评定


影响版本


RichFaces Framework 3.X到3.3.4


缝隙概述


RichFaces Framework 3.X到3.3.4很容易通过UserResource资源注入表白式说话（EL）。 远程未经身份验证的攻击者能够通过org.ajax4jsf.resource.UserResource $ UriData使用一系列java序列化对象来利用它来执行肆意代码。


缝隙验证


暂无POC/EXP


建复建议


.RedHat官方已经颁布了新版本建复了该缝隙，请受影响的用户实时更新版本，形成对此缝隙持久有效的防护。
https://access.redhat.com/errata/RHSA-2018:3517

https://access.redhat.com/errata/RHSA-2018:3518


参考链接


https://securitytracker.com/id/1042037