Vulnerabilidades exploradas (CISA KEV)

Desserialização de dados não confiáveis no Liferay Portal anterior a 7.2.1 CE GA2 permite que atacantes remotos executem código arbitrário por meio de web services JSON (JSONWS).

Ao usar o Apache JServ Protocol (AJP), é preciso ter cuidado ao confiar em conexões recebidas para o Apache Tomcat. O Tomcat trata conexões AJP como tendo confiança maior do que, por exemplo, uma conexão HTTP semelhante. Se tais conexões estiverem disponíveis para um atacante, elas podem ser exploradas de formas que podem ser surpreendentes. Nas versões do Apache Tomcat de 9.0.0.M1 até 9.0.0.30, de 8.5.0 até 8.5.50 e de 7.0.0 até 7.0.99, o Tomcat era distribuído com um conector AJP habilitado por padrão, que escutava em todos os endereços IP configurados. Esperava-se (e recomendava-se no guia de segurança) que esse conector fosse desabilitado caso não fosse necessário. Este relatório de vulnerabilidade identificou um mecanismo que permitia: - retornar arquivos arbitrários de qualquer ponto da aplicação web - processar qualquer arquivo da aplicação web como JSP. Além disso, se a aplicação web permitisse upload de arquivos e armazenasse esses arquivos dentro da própria aplicação web (ou se o atacante conseguisse controlar o conteúdo da aplicação web por algum outro meio), então isso, junto com a capacidade de processar um arquivo como JSP, tornava possível a execução remota de código. É importante notar que a mitigação só é necessária se uma porta AJP estiver acessível a usuários não confiáveis. Usuários que desejem adotar uma abordagem de defesa em profundidade e bloquear o vetor que permite retornar arquivos arbitrários e a execução como JSP podem atualizar para o Apache Tomcat 9.0.31, 8.5.51 ou 7.0.100 ou posterior. Foram feitas várias alterações na configuração padrão do conector AJP na versão 9.0.31 para reforçar a configuração padrão. É provável que usuários que atualizarem para 9.0.31, 8.5.51 ou 7.0.100 ou posterior precisem fazer pequenas alterações em suas configurações.

A sandbox bypass vulnerability exists in Jenkins Pipeline: Groovy Plugin 2.63 and earlier in pom.xml, src/main/java/org/jenkinsci/plugins/workflow/cps/CpsGroovyShell.java that allows attackers able to control pipeline scripts to execute arbitrary code on the Jenkins master JVM.

Existe uma vulnerabilidade de execução de código no framework web Stapler usado pelo Jenkins 2.153 e anteriores, e pelo LTS 2.138.3 e anteriores, em stapler/core/src/main/java/org/kohsuke/stapler/MetaClass.java, que permite a atacantes invocar alguns métodos em objetos Java ao acessar URLs criadas de forma específica que não deveriam ser invocadas dessa maneira.

O RichFaces Framework da série 3 até a versão 3.3.4 (inclusive) é vulnerável a injeção de Expression Language (EL) por meio do recurso UserResource. Um atacante remoto e não autenticado poderia explorar isso para executar código arbitrário usando uma cadeia de objetos Java serializados via org.ajax4jsf.resource.UserResource$UriData.

Spring Data Commons, versions prior to 1.13 to 1.13.10, 2.0 to 2.0.5, and older unsupported versions, contain a property binder vulnerability caused by improper neutralization of special elements. An unauthenticated remote malicious user (or attacker) can supply specially crafted request parameters against Spring Data REST backed HTTP resources or using Spring Data's projection-based request payload binding hat can lead to a remote code execution attack.

Jenkins versions 2.56 and earlier as well as 2.46.1 LTS and earlier are vulnerable to an unauthenticated remote code execution. An unauthenticated remote code execution vulnerability allowed attackers to transfer a serialized Java `SignedObject` object to the Jenkins CLI, that would be deserialized using a new `ObjectInputStream`, bypassing the existing blacklist-based protection mechanism. We're fixing this issue by adding `SignedObject` to the blacklist. We're also backporting the new HTTP CLI protocol from Jenkins 2.54 to LTS 2.46.2, and deprecating the remoting-based (i.e. Java serialization) CLI protocol, disabling it by default.

Primetek Primefaces 5.x is vulnerable to a weak encryption flaw resulting in remote code execution

O plugin Struts 1 no Apache Struts 2.1.x e 2.3.x pode permitir execução remota de código por meio de um valor de campo malicioso transmitido em uma mensagem bruta para o ActionMessage.

A execução remota de código é possível no Apache Tomcat antes de 6.0.48, na linha 7 antes de 7.0.73, na linha 8 antes de 8.0.39, em 8.5.x antes de 8.5.7 e na linha 9 antes de 9.0.0.M12, se o JmxRemoteLifecycleListener for usado e um atacante puder alcançar as portas JMX. O problema existe porque esse listener não foi atualizado para manter consistência com o patch da Oracle para o CVE-2016-3427, que afetou tipos de credenciais.

The Jakarta Multipart parser in Apache Struts 2 2.3.x before 2.3.32 and 2.5.x before 2.5.10.1 has incorrect exception handling and error-message generation during file-upload attempts, which allows remote attackers to execute arbitrary commands via a crafted Content-Type, Content-Disposition, or Content-Length HTTP header, as exploited in the wild in March 2017 with a Content-Type header containing a #cmd= string.

Apache Shiro anterior à 1.2.5, quando uma chave de cifragem não foi configurada para o recurso “remember me”, permite que atacantes remotos executem código arbitrário ou contornem restrições de acesso pretendidas por meio de um parâmetro de requisição não especificado.

O aplicativo web Fileserver no Apache ActiveMQ da série 5 anterior a 5.14.0 permite que atacantes remotos façam upload e executem arquivos arbitrários por meio de uma requisição HTTP PUT seguida de uma requisição HTTP MOVE.

O componente ExceptionDelegator interpreta valores de parâmetros como expressões OGNL durante determinado tratamento de exceções relacionado a incompatibilidades de tipos de dados de propriedades, o que permite que atacantes remotos executem código Java arbitrário por meio de um parâmetro elaborado. A falha afeta versões anteriores à 2.2.3.1.