One Article Review
| Source |  CVE Liste |
|---|---|
| Identifiant | 8361326 |
| Date de publication | 2023-07-25 15:15:13 (vue: 2023-07-25 17:06:43) |
| Titre | CVE-2023-37895 |
| Texte | Le problème de désérialisation de l'objet Java dans Jackrabbit WebApp / Standalone sur toutes les plates-formes permet à l'attaquant d'exécuter à distance le code via Rmiversions jusqu'à (y compris) 2.20.10 (branche stable) et 2.21.17 (branche Unstable) utilise le composant "Commons Beanutils", qui contient une classe qui peut être utilisée pour l'exécution du code à distance sur RMI.
Il est conseillé aux utilisateurs de mettre à jour immédiatement les versions 2.20.11 ou 2.21.18.Notez que les succursales stables antérieures (1.0.x .. 2.18.x) ont déjà été eold et ne reçoivent plus de mises à jour.
En général, le support RMI peut exposer les vulnérabilités par la simple présence d'une classe exploitable sur le chemin de classe.Même si Jackrabbit lui-même ne contient aucun code connu pour être exploitable, l'ajout d'autres composants à votre serveur peut exposer le même type de problème.Nous recommandons donc de désactiver complètement l'accès RMI (voir plus loin) et discuterons de la dépréciation du support RMI dans les futures versions de Jackrabbit.
Comment vérifier si la prise en charge RMI est activée, la prise en charge peut être supérieure à un port TCP spécifique à RMI et sur une liaison HTTP.Les deux sont par défaut activés dans Jackrabbit WebApp / Standalone.
Le protocole RMI natif par défaut utilise le port 1099. Pour vérifier s'il est activé, des outils comme "netstat" peuvent être utilisés pour vérifier.
RMI-Over-Http dans Jackrabbit par défaut utilise le chemin "/ rmi".Ainsi, lorsque vous exécutez autonome sur le port 8080, vérifiez si une demande de GET HTTP sur localhost: 8080 / RMI renvoie 404 (non activé) ou 200 (activé).Notez que le chemin HTTP peut être différent lorsque le WebApp est déployé dans un conteneur en contexte non racine, auquel cas le préfixe est sous le contrôle de l'utilisateur \\.
Désactiver RMIFIND web.xml (soit dans le fichier JAR / WAR, soit dans un dossier d'application Web déballé), et supprimez la déclaration et la définition de mappage pour le RemoteBindingServlet:
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp; rmi
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp; org.apache.jackrabbit.servlet.remote.remotebindingServlet
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp; rmi
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp; / rmi
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;
Trouvez le fichier bootstrap.properties (dans $ repository_home) et définissez
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;rmi.enabled = false
& Acirc; & nbsp;& Acirc; & nbsp;etsupprimer également
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;RMI.Host
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;rmi.port
& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;& Acirc; & nbsp;rmi.url-sattern
& Acirc; & nbsp; S'il n'y a pas de fichier nommé bootstrap.properties dans $ repository_home, il est situé quelque part dans le chemin de classe.Dans ce cas, placez une copie dans $ repository_home et modifiez-la comme expliqué.
& Acirc; & nbsp;
Java object deserialization issue in Jackrabbit webapp/standalone on all platforms allows attacker to remotely execute code via RMIVersions up to (including) 2.20.10 (stable branch) and 2.21.17 (unstable branch) use the component "commons-beanutils", which contains a class that can be used for remote code execution over RMI. Users are advised to immediately u |
| Envoyé | Oui |
| Condensat | $repository /rmi 1099 200 2023 37895 404 8080 access adding advised all allows already also altogether any anymore apache application are attacker beanutils been below binding bootstrap both branch branches can case check class classpath code commons component components contain container contains context control copy cve declaration default definition deployed deprecating deserialization different disable discuss does earlier either enabled enabled=false enabledrmi eold even execute execution explained exploitable expose file find folder further future general get have home host how http immediately including issue itself jackrabbit jar/war java known like localhost:8080/rmi located mapping may mere modify named native netstat non not note object off org other over path pattern place platforms port prefix presence problem properties protocol receive recommend releases remote remotebindingservlet remotebindingservlet: remotely remove request returns rmi rmifind rmiversions root running same see server servlet set somewhere specific stable standalone support tcp therefore tools turning type under unpacked unstable update updates url use used user users uses versions vulnerabilities web webapp webapp/standalone when whether which will xml your â â if â rmi |
| Tags | Tool Vulnerability |
| Stories | |
| Notes | |
| Move | 
|
L'article ne semble pas avoir été repris aprés sa publication.
L'article ne semble pas avoir été repris sur un précédent.