CVE-2020-11973

Apache Camel Netty — niebezpieczna deserializacja Java (RCE)

CVSS 9.8v3.1pub. 2020-05-14upd. 2024-11-21

Apache Camel Netty domyślnie włącza deserializację Java, co umożliwia zdalnemu atakującemu wykonanie dowolnego kodu bez uwierzytelnienia. Podatność otrzymała ocenę krytyczną CVSS 9.8, co oznacza poważne zagrożenie dla systemów korzystających z dotkniętych wersji.

▸ Pokaż oryginał (EN)

Apache Camel Netty enables Java deserialization by default. Apache Camel 2.22.x, 2.23.x, 2.24.x, 2.25.0, 3.0.0 up to 3.1.0 are affected. 2.x users should upgrade to 2.25.1, 3.x users should upgrade to 3.2.0.

🤖 Analiza AI

Jak działa

Komponent Netty w Apache Camel ma domyślnie włączoną deserializację obiektów Java (CWE-502). Atakujący może przesłać sieciowo spreparowany, złośliwy obiekt serializowany, który podczas procesu deserializacji wykona arbitralny kod po stronie serwera. Nie jest wymagane żadne uwierzytelnienie ani interakcja użytkownika, a atak może być przeprowadzony całkowicie zdalnie przez sieć.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem — poufność, integralność i dostępność systemu są w całości zagrożone, co odpowiada możliwości zdalnego wykonania kodu (RCE) z uprawnieniami procesu Apache Camel.

Mitygacja

Użytkownicy gałęzi 2.x powinni zaktualizować Apache Camel do wersji 2.25.1; użytkownicy gałęzi 3.x powinni zaktualizować do wersji 3.2.0. Użytkownicy produktów Oracle powinni zastosować patche zgodnie z alertami bezpieczeństwa Oracle (cpujan2021, cpuApr2021, cpujul2021).

Kogo dotyczy

Apache Camel w wersjach 2.22.x, 2.23.x, 2.24.x, 2.25.0 oraz 3.0.0 do 3.1.0. Pośrednio dotknięte produkty Oracle: Communications Diameter Signaling Router, Enterprise Manager Base Platform.