PT-2023-6605
CVE-2023-46604
·
تاريخ النشر
2023-10-27
·
تاريخ التحديث
2026-11-01
الوصف من
CVSS 3.1
10
حرجةالمقاييسAV:N/AC:L/PR:N/UI:N/S:C/C:L/I:H/A:H
اسم البرنامج المصاب والإصدارات المتأثرة
Apache ActiveMQ الإصدارات السابقة لـ 5.15.16
Apache ActiveMQ الإصدارات من 5.16.x إلى 5.16.6
Apache ActiveMQ الإصدارات من 5.17.x إلى 5.17.5
Apache ActiveMQ الإصدارات من 5.18.x إلى 5.18.2
Bamboo Data Center الإصدارات السابقة لـ 9.2.7
Bamboo Server الإصدارات السابقة لـ 9.2.7
Delta Electronics InfraSuite Device Master (الإصدارات المتأثرة غير محددة)
الوصف
يمكن تنفيذ رمز عن بُعد عبر برنامج marshaller الخاص ببروتوكول Java OpenWire بسبب إلغاء تسلسل البيانات غير الموثوقة. يمكن لمهاجم عن بُعد لديه وصول إلى الشبكة إلى وسيط (broker) أو عميل OpenWire يعتمد على Java تنفيذ أوامر shell تعسفية من خلال التلاعب بأنواع الفئات المتسلسلة لإنشاء أي فئة في classpath. يتضمن الاستغلال التقني استخدام فئات Java Spring، مثل
ClassPathXmlApplicationContext أو FileSystemXmlApplicationContext لتحميل ملفات تكوين XML خبيثة عبر HTTP أو تضمين تعبيرات SpEL في سمة init-method لتحقيق التنفيذ في الذاكرة. يُقدر أن هناك حوالي 3,000 خادم حول العالم معرضة للخطر. تشمل الحوادث الواقعية نشر برامج فدية من قبل مجموعات مثل HelloKitty و TellYouThePass و LockBit Black، بالإضافة إلى توزيع SparkRAT.التوصيات
تحديث Apache ActiveMQ إلى الإصدارات 5.15.16 أو 5.16.7 أو 5.17.6 أو 5.18.3.
تحديث Bamboo Data Center إلى الإصدار 9.2.7 أو أحدث.
تحديث Bamboo Server إلى الإصدار 9.2.7 أو أحدث.
في الوقت الحالي، لا توجد معلومات حول إصدار أحدث يحتوي على إصلاح لهذه الثغرة في Delta Electronics InfraSuite Device Master.
قابلية الاستغلال
استغلال
إصلاح
التأثيرات
الباحثون
المورّدون
المنتجات المتأثرة
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾