Wysyp krytycznych błędów (RCE): JBoss, .NET Framework, WebShpere, WebLogic

Tym razem nie jest to jakaś skoordynowana pod względem jednej konkretnej podatności akcja (choć w kilku miejscach przewija się deserializacja). Na początek podatność (krytyczność 9.8/10) w RichFaces, który wchodzi w skład JBossa:

The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.

Dalej: .NET framework (na razie sprawa jest jeszcze dość mgliście opisana, choć dotykająca wersji 2 / 3 oraz 4. Tutaj Microsoft wydał naprawdę potężną liczbę patchy, każdy oznaczając słowem 'Critical’. Na razie wiemy tylko, że chodzi o pewien problem z uploadami plików:

A remote code execution vulnerability exists when Microsoft .NET Framework processes input. An attacker who successfully exploited this vulnerability could take control of an affected system.

To exploit the vulnerability, an attacker would need to be able to upload a specially crafted file to a web application.

Warto też przypomnieć nieco wcześniejszy bug (wrzesień 2018) z WebShpere: