PT-2020-15035 · Apache · Apache Tapestry
CVE-2020-17531
·
Publicado
2020-12-08
·
Atualizado
2024-08-03
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Apache Tapestry versão 4
Descrição
Foi identificada uma vulnerabilidade de serialização Java no Apache Tapestry 4, na qual o sistema tenta deserializar o parâmetro
sp antes de invocar o método de validação da página, levando à deserialização sem autenticação. O Apache Tapestry 4 chegou ao fim de vida útil em 2008 e nenhuma atualização para corrigir esse problema será lançada. As versões do Apache Tapestry 5 não são vulneráveis a esse problema.Recomendações
Para o Apache Tapestry versão 4, atualize para a versão mais recente do Apache Tapestry 5. Como solução temporária, considere restringir o acesso ao parâmetro vulnerável
sp para minimizar o risco de exploração.Correção
Deserialization of Untrusted Data
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Apache Tapestry