Sofa-hessian
Уязвимости
2
Эксплуатируемые
0
Макс. CVSS
9.8
Макс. EPSS
0.02763
Распределение по критичности
Критический
2
Высокий
0
Средний
0
Низкий
0
Затронутые диапазоны версий
< 3.5.5≤ 4.0.2
Также сопоставлено как (исходные строки): sofa-hessian
Топ уязвимостей
CVE-2024-46983sofa-hessian — это внутренняя улучшенная версия Hessian3/4, разработанная Ant Group CO., Ltd. Протокол SOFA Hessian использует механизм черного списка для ограничения десериализации потенциально опасных классов для защиты безопасности. Но существует цепочка гаджетов, которая может обойти механизм защиты черного списка SOFA Hessian, и эта цепочка гаджетов полагается только на JDK и не полагается ни на какие сторонние компоненты. Эта проблема исправлена обновлением черного списка, пользователи могут обновиться до sofahessian версии 3.5.5, чтобы избежать этой проблемы. Пользователи, не имеющие возможности обновиться, могут самостоятельно вести черный список в каталоге `external/serialize.blacklist`.
CVE-2019-9212SOFA-Hessian до версии 4.0.2 позволяет удаленным злоумышленникам выполнять произвольные команды через специально созданный сериализованный объект Hessian, поскольку черные списки com.caucho.naming.QName и com.sun.org.apache.xpath.internal.objects.XString обрабатываются неправильно, что связано с Resin Gadget. ПРИМЕЧАНИЕ: Поставщик не считает эту проблему уязвимостью, поскольку черный список используется неправильно. SOFA Hessian поддерживает пользовательский черный список, и было опубликовано заявление, призывающее пользователей обновить черный список или использовать функцию белого списка для своих конкретных потребностей, поскольку черный список активно не обновляется.