← voltar
CVE-2018-1273

CVE-2018-1273

CVSS 9.8 CRITICALEPSS 95.6%● KEVCWE-94
Em resumo

O Spring Data Commons possui uma falha que permite que atacantes executem código malicioso no servidor através de requisições especialmente preparadas. Um invasor sem autenticação pode explorar a forma como a aplicação processa entrada de dados para executar comandos arbitrários.

Detalhe técnico

Vulnerabilidade CWE-94 (neutralização inadequada de elementos especiais) no vinculador de propriedades do Spring Data Commons permite execução remota de código não autenticada por meio de parâmetros de requisição maliciosos direcionados a endpoints REST ou vinculação de payload baseada em projeção. A exploração requer acesso de rede aos recursos HTTP afetados; o impacto resulta em comprometimento total do sistema.

Resumo gerado e traduzido por IA a partir da descrição oficial.
Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
Produtos afetados
Spring by Pivotal · Spring Framework
PoCs públicas encontradas — 6
githubgithub.com/jas502n/cve-2018-1273★ 58githubgithub.com/wearearima/poc-cve-2018-1273★ 24githubgithub.com/knqyf263/CVE-2018-1273★ 10githubgithub.com/webr0ck/poc-cve-2018-1273★ 2githubgithub.com/cved-sources/cve-2018-1273★ 0githubgithub.com/hdgokani/CVE-2018-1273★ 0
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.

Quer saber se a sua infraestrutura está exposta a isto?

Falar com a TrueHacking →
Referências
http://mail-archives.apache.org/mod_mbox/ignite-dev/201807.mbox/%3CCAK0qHnqzfzmCDFFi6c5Jok19zNkVCz5Xb4sU%3D0f2J_1i4p46zQ%40mail.gmail.com%3Ehttps://pivotal.io/security/cve-2018-1273https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-1273https://www.oracle.com/security-alerts/cpujul2022.html