جزئیات آسیب‌پذیری

CVE-2018-14667

بهره‌برداری فعال

[UNKNOWN] RichFaces

CVSS 3.0

9.8بحرانی

نمای کلی اکسپلویت‌های عمومی اخبار مرتبط خط زمانی

خلاصه‌ی فارسی

خلاصه‌ی فارسی برای این آسیب‌پذیری هنوز تهیه نشده است.

شرح رسمی (انگلیسی)

The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.

امتیازهای CVSS

امتیاز	نسخه	منبع	بردار
9.8بحرانی	3.0	CVEProject cvelistV5 (CNA) (redhat)	`CVSS:3.0/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H`

محصولات آسیب‌پذیر

فروشنده	محصول	نسخه‌ها	منبع
[UNKNOWN]	RichFaces	affected 3.X through 3.3.4	CVEProject cvelistV5 (CNA)

منابع و راهنماها

https://bugzilla.redhat.com/show_bug.cgi?id=CVE-2018-14667 x_refsource_CONFIRM
https://access.redhat.com/errata/RHSA-2018:3519 vendor-advisoryx_refsource_REDHAT
https://access.redhat.com/errata/RHSA-2018:3581 vendor-advisoryx_refsource_REDHAT
https://access.redhat.com/errata/RHSA-2018:3518 vendor-advisoryx_refsource_REDHAT
https://access.redhat.com/errata/RHSA-2018:3517 vendor-advisoryx_refsource_REDHAT
http://www.securitytracker.com/id/1042037 vdb-entryx_refsource_SECTRACK
http://packetstormsecurity.com/files/156663/Richsploit-RichFaces-Exploitation-Toolkit.html x_refsource_MISC
http://seclists.org/fulldisclosure/2020/Mar/21 mailing-listx_refsource_FULLDISC
https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2018-14667 government-resource

اطلاعات

تاریخ انتشار: ۱۳۹۷/۰۸/۱۶
آخرین به‌روزرسانی: ۱۴۰۴/۰۷/۳۰
وضعیت: PUBLISHED
صادرکننده (CNA): redhat
اولویت کلون: به‌زودی

فهرست KEV آژانس CISA

تاریخ افزوده‌شدن: ۱۴۰۲/۰۷/۰۶
مهلت رفع: ۱۴۰۲/۰۷/۲۷
استفاده در باج‌افزار: نامشخص

پیش‌بینی بهره‌برداری (EPSS)

۷۴٫۲٪

احتمال بهره‌برداری در ۳۰ روز

۹۹٫۴٪

صدک (نسبت به همه‌ی CVEها)

ارزیابی SSVC (CISA)

Automatable: yes
Exploitation: active
Technical Impact: total

ضعف‌ها (CWE)

CWE-94