Vulnerabilidad en weblogic-framework (CVE-2023-40571)

Gravedad CVSS v3.1:

CRÍTICA

Tipo:

CWE-502 Deserialización de datos no confiables

Fecha de publicación:

25/08/2023

Última modificación:

01/09/2023

Descripción

weblogic-framework es una herramienta para detectar vulnerabilidades de weblogic. Las versiones 0.2.3 y anteriores no verifican los paquetes de datos devueltos, y existe una vulnerabilidad de deserialización que puede conducir a la ejecución remota de código. Cuando weblogic-framework recibe el comando echo, deserializa directamente los datos devueltos por el servidor sin verificarlos. Al mismo tiempo, el cargador de clases carga muchas llamadas de deserialización. En este caso, los datos serializados maliciosos devueltos por el servidor provocarán la ejecución remota de código. La versión 0.2.4 contiene un parche para este problema.<br />

Impacto

Vector 3.x

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H CVSS v3.1 Severidad y Métricas:

Puntuación base: 9.80 CRÍTICA
Vector: CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Vector de acceso (AV): A través de red
Complejidad de acceso (AC): Bajo
Privilegios Requeridos (PR): Ninguno
Interacción del usuario (UI): Ninguno
Alcance (S): Sin modificar
Impacto a la confidencialidad (C): Alto
Impacto a la integridad (I): Alto
Impacto a la disponibilidad (A): Alto