CVE-2019-10181mediumCWE-345

CVE-2019-10181: fallo de gravedad media en icedtea-web

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear icedtea-web+ Monitorear icedtea-web

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

13Vexday Risk Score

Sin señal de explotación. Ningún artefacto público de explotación conocido hasta ahora.

ssvc Trackcvss 6.3epss 1.2%
En resumen

Una falla en icedtea-web permite que atacantes inyecten código malicioso en archivos JAR manteniendo la firma digital válida. Esto significa que los usuarios pueden ejecutar código no confiable creyendo que están ejecutando una aplicación legítima.

Detalle técnico

CWE-345 (Verificación Insuficiente de Autenticidad de Datos) afecta icedtea-web versiones hasta 1.7.2 y 1.8.2, permitiendo inyección de código en archivos JAR firmados sin invalidar la firma. El vector es entrega de JAR manipulado; el código inyectado se ejecuta dentro de la sandbox Java, limitando pero no eliminando el impacto de seguridad.

Resumen generado y traducido por IA a partir de la descripción oficial.
It was found that in icedtea-web up to and including 1.7.2 and 1.8.2 executable code could be injected in a JAR file without compromising the signature verification. An attacker could use this flaw to inject code in a trusted JAR. The code would be executed inside the sandbox.
CVSS:3.0/AV:N/AC:L/PR:N/UI:R/S:U/C:L/I:L/A:L
Productos afectados
IcedTea · icedtea-web
CVEs relacionadas — icedtea-web

En el mismo producto, de las más peligrosas a las menos.

CVE-2019-10185HIGHCVE-2019-10185EPSS 4.0%CVE-2019-10182HIGHCVE-2019-10182EPSS 2.7%