CVE-2017-1000486criticalbajo ataqueCWE-326

CVE-2017-1000486

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Primefaces Application+ Monitorear org.primefaces:primefaces

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA, tiene exploit funcional público y 1 grupo(s) de amenaza la utilizan.

ssvc Actcvss 9.8epss 94%
de la publicación al arma15 días
Publicada en NVD3 ene
1ª PoC+15d
metasploit15 feb
CISA KEV+1468d
Quién la explota — 1

Grupos conocidos por explotar esta vulnerabilidad (atribución MITRE ATT&CK).

APT / EstatalFIN13 MITRE ATT&CK
Acción exigida por CISAplazo federal: 2022-07-10

Apply updates per vendor instructions.

En resumen

Primefaces 5.x utiliza encriptación débil que permite a los atacantes eludir controles de seguridad y ejecutar código arbitrario en el servidor. Es una vulnerabilidad crítica porque otorga control total de la aplicación a un atacante.

Detalle técnico

Primefaces 5.x implementa encriptación inadecuada (CWE-326) para protección de datos sensibles, permitiendo que atacantes descifren o manipulen valores encriptados sin autenticación. Esta implementación criptográfica débil puede explotarse para lograr ejecución remota de código, resultando en compromiso completo del sistema.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

Primetek Primefaces 5.x is vulnerable to a weak encryption flaw resulting in remote code execution
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.