CVE-2022-1471highexploração observadaCWE-20

CVE-2022-1471: falha de alta gravidade em SnakeYAML

Remote Code execution in SnakeYAML

Publicada em · Atualizada em

Seguir esta CVE+ Monitorar SnakeYAML+ Monitorar snakeyaml

Aviso por e-mail quando ela entrar no KEV, ganhar PoC pública ou subir de nota.

100Vexday Risk Score

Corrija agora. Ela exploração observada pelo VulnCheck e tem exploit funcional público.

ssvc Actcvss 8.3epss 100%
da publicação à arma385 dias
Publicada no NVD1 de dez.
1ª PoC+385d
metasploit+306d
VulnCheck+1425d
O que os fabricantes declaram (VEX)

Declarações oficiais dos fabricantes em formato CSAF/VEX: se o produto deles está afetado, já corrigido ou descartado — e por quê. É afirmação do fabricante, não juízo do Vexday.

Red Hatdocumento VEX ↗
Afetado
19 produtos (28 componentes)
Red Hat OpenShift Container Platform 3.11 · Red Hat Enterprise Linux 7 · Red Hat JBoss Enterprise Application Platform 6 · Red Hat OpenShift Dev Spaces · Red Hat Satellite 6 · e outros 14
none_available: Affected
Corrigido
24 produtos (122 componentes)
Middleware Containers for OpenShift · Red Hat JBoss Enterprise Application Platform 7.3 EUS for RHEL 7 Server · Red Hat JBoss Enterprise Application Platform 7.1 EUS for RHEL 7 Server · Middleware RHEL 7 Containers for OpenShift · OpenShift Developer Tools and Services for OCP 4.11 for RHEL 8 · e outros 19
correção ↗
Não afetado
17 produtos (2.407 componentes) — porque o código vulnerável não está presente no produto
Red Hat Satellite 6.13 for RHEL 8 · Red Hat JBoss EAP 7.4 for RHEL 7 Server · Red Hat JBoss EAP 7.4 for RHEL 8 · Red Hat JBoss EAP 7.4 for RHEL 9 · Red Hat OpenShift Container Platform 4.10 · e outros 12
SnakeYaml's Constructor() class does not restrict types which can be instantiated during deserialization. Deserializing yaml content provided by an attacker can lead to remote code execution. We recommend using SnakeYaml's SafeConsturctor when parsing untrusted content to restrict deserialization. We recommend upgrading to version 2.0 and beyond.
CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:L
Produtos afetados
SnakeYAML · SnakeYAML
⚠ Recursos públicos, para você avaliar a exposição de sistemas que controla ou está autorizado a testar. Teste apenas com autorização.