CVE-2021-35464criticalbajo ataqueransomwareCWE-502

CVE-2021-35464

Publicada el · Actualizada el

Seguir esta CVE+ Monitorear Access Management

Aviso por correo cuando entre en el KEV, tenga PoC pública o suba de nota.

100Vexday Risk Score

Corrige ahora. Ella está bajo explotación confirmada por CISA y tiene exploit funcional público.

ssvc Actcvss 9.8epss 100%
de la publicación al armael mismo día
Publicada en NVD22 jul
1ª PoC1 jul
metasploit29 jun
CISA KEV+104d
Acción exigida por CISAplazo federal: 2021-11-17

Apply updates per vendor instructions.

En resumen

Los servidores ForgeRock AM anteriores a la versión 7.0 contienen una falla crítica que permite a los atacantes ejecutar código malicioso de forma remota sin necesidad de contraseña. Un atacante puede explotar esto enviando una solicitud especialmente diseñada al servidor, aprovechando la forma en que la aplicación procesa datos Java.

Detalle técnico

Vulnerabilidad de deserialización Java en el parámetro jato.pageSession en múltiples endpoints, explotable mediante solicitudes no autenticadas a /ccversion/*. La vulnerabilidad surge del procesamiento inseguro de datos en Sun ONE Application Framework (JATO) en Java 8 y versiones anteriores, permitiendo ejecución remota de código sin autenticación.

Resumen generado y traducido por IA a partir de la descripción oficial.

El análisis completo de esta CVE está disponible en portugués →

ForgeRock AM server before 7.0 has a Java deserialization vulnerability in the jato.pageSession parameter on multiple pages. The exploitation does not require authentication, and remote code execution can be triggered by sending a single crafted /ccversion/* request to the server. The vulnerability exists due to the usage of Sun ONE Application Framework (JATO) found in versions of Java 8 or earlier
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Productos afectados
n/a · n/a
⚠ Recursos públicos, para evaluar la exposición de sistemas que controlas o estás autorizado a probar. Prueba solo con autorización.