Vulnerabilidad en Wildfly Server Role Based Access Control (CVE-2025-23367)
Gravedad CVSS v3.1:
MEDIA
Tipo:
CWE-284
Control de acceso incorrecto
Fecha de publicación:
30/01/2025
Última modificación:
14/10/2025
Descripción
Se encontró una falla en el proveedor Wildfly Server Role Based Access Control (RBAC). Cuando la autorización para controlar las operaciones de administración se asegura mediante el proveedor de control de acceso basado en roles, un usuario sin los privilegios requeridos puede suspender o reanudar el servidor. Se supone que un usuario con un rol de Monitor o Auditor solo tiene permisos de acceso de lectura y no debería poder suspender el servidor. La vulnerabilidad se debe a que los controladores de Suspensión y Reanudación no realizan comprobaciones de autorización para validar si el usuario actual tiene los permisos requeridos para continuar con la acción.
Impacto
Puntuación base 3.x
6.50
Gravedad 3.x
MEDIA
Productos y versiones vulnerables
| CPE | Desde | Hasta |
|---|---|---|
| cpe:2.3:a:redhat:jboss_enterprise_application_platform:*:*:*:*:*:*:*:* | 7.4 (incluyendo) | 7.4.21 (excluyendo) |
| cpe:2.3:a:redhat:jboss_enterprise_application_platform:*:*:*:*:*:*:*:* | 8.0.0 (incluyendo) | 8.0.7 (excluyendo) |
| cpe:2.3:a:redhat:wildfly:*:*:*:*:*:*:*:* | 27.0.1 (excluyendo) | |
| cpe:2.3:a:redhat:wildfly:28.0.0:beta1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página