CVE-2021-35464
CVE-2021-35464
En resumen
Los servidores ForgeRock AM anteriores a la versión 7.0 contienen una falla crítica que permite a los atacantes ejecutar código malicioso de forma remota sin necesidad de contraseña. Un atacante puede explotar esto enviando una solicitud especialmente diseñada al servidor, aprovechando la forma en que la aplicación procesa datos Java.
Detalle técnico
Vulnerabilidad de deserialización Java en el parámetro jato.pageSession en múltiples endpoints, explotable mediante solicitudes no autenticadas a /ccversion/*. La vulnerabilidad surge del procesamiento inseguro de datos en Sun ONE Application Framework (JATO) en Java 8 y versiones anteriores, permitiendo ejecución remota de código sin autenticación.
Resumen generado y traducido por IA a partir de la descripción oficial.
ForgeRock AM server before 7.0 has a Java deserialization vulnerability in the jato.pageSession parameter on multiple pages. The exploitation does not require authentication, and remote code execution can be triggered by sending a single crafted /ccversion/* request to the server. The vulnerability exists due to the usage of Sun ONE Application Framework (JATO) found in versions of Java 8 or earlier
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/aPoCs públicas encontradas — 5
githubgithub.com/Y4er/openam-CVE-2021-35464★ 87githubgithub.com/rood8008/CVE-2021-35464★ 0cve_referencepacketstormsecurity.com/files/163486/ForgeRock-OpenAM-Jato-Java-Deserialization.htmlno verificadocve_referencepacketstormsecurity.com/files/163525/ForgeRock-Access-Manager-OpenAM-14.6.3-Remote-Code-Execution.htmlno verificadoexploitdbwww.exploit-db.com/exploits/50131no verificado⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.
¿Quieres saber si tu infraestructura está expuesta a esto?
Hablar con TrueHacking →Referencias
http://packetstormsecurity.com/files/163486/ForgeRock-OpenAM-Jato-Java-Deserialization.htmlhttp://packetstormsecurity.com/files/163525/ForgeRock-Access-Manager-OpenAM-14.6.3-Remote-Code-Execution.htmlhttps://backstage.forgerock.com/knowledge/kb/article/a47894244https://bugster.forgerock.orghttps://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2021-35464