此页面上的内容需要较新版本的 Adobe Flash Player。

获取 Adobe Flash Player

预警信息
当前位置: 首页 预警信息
名称:  关于6.x版本JBOSS Application Server存在反序列化命令执行漏洞的安全公告
索引:  K08260953/2017-02999 发布机构:  吉林省通信管理局办公室
生成日期:  2017-11-29 16:21:33 文号:  
信息分类:   关键词:  
内容概述:  关于6.x版本JBOSS Application Server存在反序列化命令执行漏洞的安全公告
关于6.x版本JBOSS Application Server存在反序列化命令执行漏洞的安全公告
发布时间:2017-11-29 16:21:33  

  安全公告编号:CNTA-2017-0080
  2017年9月14日,国家信息安全漏洞共享平台(CNVD)收录了JBOSS Application Server反序列化命令执行漏洞(CNVD-2017-33724,对应CVE-2017-12149),远程攻击者利用漏洞可在未经任何身份验证的服务器主机上执行任意代码。漏洞细节和验证代码已公开,近期被不法分子利用出现大规模攻击尝试的可能性较大。
  一、漏洞情况分析
  JBOSS Application Server是一个基于J2EE的开放源代码的应用服务器。 JBoss代码遵循LGPL许可,可以在任何商业应用中免费使用,2006年,JBoss被Redhat公司收购。
  2017年8月30日,厂商Redhat发布了一个JBOSSAS5.x的反序列化远程代码执行漏洞通告。该漏洞位于JBoss的HttpInvoker组件中的ReadOnlyAccessFilter 过滤器中,其doFilter方法在没有进行任何安全检查和限制的情况下尝试将来自客户端的序列化数据流进行反序列化,导致攻击者可以通过精心设计的序列化数据来执行任意代码。但近期有安全研究者发现JBOSSAS 6.x也受该漏洞影响,攻击者利用该漏洞无需用户验证在系统上执行任意命令,获得服务器的控制权。CNVD对该漏洞的综合评级为“高危”。
  二、漏洞影响范围
  该漏洞影响5.x和6.x版本的JBOSSAS。CNVD针对开放了80和8080、8081等端口的JBOSSAS服务,一共抽样了1000个,测试存在漏洞的有52个,占比5%。
  三、防护建议
  升级到JBOSS AS7
  临时解决方案:
  1. 不需要 http-invoker.sar 组件的用户可直接删除此组件。
  2. 添加如下代码至 http-invoker.sar 下 web.xml 的 security-constraint 标签中:
  <url-pattern>/*</url-pattern>
  用于对 httpinvoker 组件进行访问控制。
  附:参考链接:
  
https://access.redhat.com/security/cve/cve-2017-12149
  
http://cve.mitre.org/cgi-bin/cvename.cgi?name=CVE-2017-12149
  
http://www.cnvd.org.cn/flaw/show/CNVD-2017-33724