PT-2026-37132 · Hyperledger · Fabric-Sdk-Java+1
CVSS v3.1
9.8
حرجة
| المتجه | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
اسم البرنامج المعرض للخطر والإصدارات المتأثرة
إصدارات Hyperledger Fabric من 1.0.0 إلى 2.2.26
الوصف
في حزمة تطوير البرامج (SDK) للعميل
fabric-sdk-java التي تم إيقاف استخدامها، يقوم ملف Channel.java بتنفيذ readObject() ويكشف عن الدالة deSerializeChannel()، وكلاهما يستدعي ObjectInputStream.readObject() على مصفوفات بايت غير موثوق بها دون تكوين ObjectInputFilter. يؤدي هذا إلى مشكلة في عملية إزالة التسلسل في Java، حيث يمكن للمهاجم الذي يستطيع توفير بايتات Channel مُسلسلة ومصممة خصيصًا — مثل اختراق ملف قناة محلي أو حقن البيانات عبر أحد التطبيقات — تنفيذ التعليمات البرمجية عن بُعد (RCE) من خلال استغلال سلسلة الأدوات (gadget chain). هذه مشكلة من جانب العميل ولا تتضمن البيانات المرسلة من أقران Fabric.التوصيات
الانتقال إلى
org.hyperledger.fabric:fabric-gateway، الذي لا يستخدم التسلسل في Java.كحل مؤقت لمشكلة SDK الذي تم إهماله، أضف
ObjectInputFilter لإدراج الفئات المتوقعة فقط في القائمة البيضاء داخل دالة deSerializeChannel().استغلال
إصلاح
RCE
Deserialization of Untrusted Data
وجدت خطأً في الوصف؟ لديك ما تضيفه؟ لا تتردد في مراسلتنا 👾
تصنيف نقاط الضعف
المعرّفات ذات الصلة
المنتجات المتأثرة
Hyperledger Fabric
Fabric-Sdk-Java