Red Hat JBoss Operations Network Java オブジェクト逆シリアル化 RCE

critical Nessus プラグイン ID 91487

Language:

概要

リモート JBoss Operations Network サーバーは、リモートコードの実行の脆弱性の影響を受けます。

説明

Jython ライブラリへの認証されていない Java オブジェクトの安全でない逆シリアル化コールのために、リモート Red Hat JBoss Operations Network サーバーがリモートコードの実行の脆弱性の影響を受けます。認証されていないリモートの攻撃者は、これを悪用して、特別に細工された Java オブジェクトを HTTP インターフェイスへ送信することで、ターゲットホストで任意のコードを実行する可能性があります。

ソリューション

Red Hat が JBoss Operations Network 3.3 Update 06 をリリースし、この問題に対処しました。しかし、Tenable Research が確認したところ、この更新は問題を解決していません。この問題を軽減するため、ユーザーはエージェント認証を有効にする必要があります。