Vulnerabilidad en Apache JMeter (CVE-2018-1287)
Gravedad CVSS v3.1:
CRÍTICA
Tipo:
No Disponible / Otro tipo
Fecha de publicación:
14/02/2018
Última modificación:
07/11/2023
Descripción
En Apache JMeter 2.X y 3.X, al emplear solo Distributed Test (basado en RMI), el servidor jmeter enlaza el registro RMI al host de caracteres comodín. Esto podría permitir que un atacante obtenga acceso a JMeterEngine y envíe código no autorizado.
Impacto
Puntuación base 3.x
9.80
Gravedad 3.x
CRÍTICA
Puntuación base 2.0
7.50
Gravedad 2.0
ALTA
Productos y versiones vulnerables
CPE | Desde | Hasta |
---|---|---|
cpe:2.3:a:apache:jmeter:2.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.1:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.2:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.3:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.3:rc1:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.3:rc2:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.4:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.4:rc1:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.4:rc2:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.3.4:rc3:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.4:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.5:*:*:*:*:*:*:* | ||
cpe:2.3:a:apache:jmeter:2.5:rc1:*:*:*:*:*:* |
Para consultar la lista completa de nombres de CPE con productos y versiones, ver esta página
Referencias a soluciones, herramientas e información
- http://mail-archives.apache.org/mod_mbox/www-announce/201802.mbox/%3CCAH9fUpYsFx1%2Brwz1A%3Dmc7wAgbDHARyj1VrWNg41y9OySuL1mqw%40mail.gmail.com%3E
- http://www.securityfocus.com/bid/103068
- https://lists.apache.org/thread.html/31e0adbeca9d865ff74d0906b2248a41a1457cb54c1afbe5947df58b%40%3Cissues.jmeter.apache.org%3E