PT-2020-2099 · Apache+1 · Apache Xml-Rpc+1

Guillaume Teissier · Publicado 2020-01-23 · Atualizado 2024-01-22 · CVE-2019-17570

Positive Technologies (AI Summary) · Pt

CVSS v2.0

10

Crítica

Vetor base

AV:N/AC:L/Au:N/C:C/I:C/A:C

Nome do software vulnerável e versões afetadas

Apache XML-RPC (versões afetadas não especificadas)

Descrição

O problema está relacionado a um erro de desserialização não confiável no método org.apache.xmlrpc.parser.XmlRpcResponseParser:addResult da biblioteca Apache XML-RPC. Esse erro está associado à desserialização de exceções do lado do servidor serializadas no atributo faultCause das mensagens de resposta de erro do XML-RPC. A exploração dessa vulnerabilidade poderia permitir que um invasor remoto acessasse dados confidenciais, comprometesse a integridade dos dados e causasse uma negação de serviço. Um servidor XML-RPC malicioso poderia atacar um cliente XML-RPC, fazendo com que ele executasse código arbitrário.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para essa vulnerabilidade.

Exploit

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

BDU:2020-01960

CVE-2019-17570

DLA-2078-1

DSA-4619-1

GHSA-6VWP-35W3-XPH8

GHSA-X2R6-4M45-M4JP

MGASA-2020-0077

OESA-2022-1545

OESA-2022-2096

RHSA-2020:0310

USN-4496-1

Produtos afetados

Apache Xml-Rpc

Ubuntu

Referências · 42

• 🔥 https://github.com/orangecertcc/security-research/security/advisories/GHSA-x2r6-4m45-m4jp · Exploit
• 🔥 https://github.com/r00t4dm/CVE-2019-17570 · Exploit
• 🔥❌ https://github.com/fbeasts/xmlrpc-common-deserialization · Exploit, Deleted
• 🔥❌ https://github.com/orangecertcc/xmlrpc-common-deserialization · Exploit, Deleted
• https://safe-surf.ru/specialists/bulletins-nkcki/646116 · Nota de Segurança
• https://osv.dev/vulnerability/DSA-4619-1 · Aviso do Fabricante
• https://osv.dev/vulnerability/OESA-2022-1545 · Aviso do Fabricante
• https://lists.fedoraproject.org/archives/list/package-announce%40lists.fedoraproject.org/message/I3QCRLJYQRGVTIYF4BXYRFSF3ONP3TBF · Aviso do Fabricante
• https://cve.org/CVERecord?id=CVE-2019-17570 · Nota de Segurança
• https://access.redhat.com/errata/RHSA-2020:0310 · Aviso do Fabricante
• https://seclists.org/bugtraq/2020/Feb/8 · Nota
• https://abf.rosa.ru/advisories/ROSA-SA-2025-2778 · Nota
• https://osv.dev/vulnerability/GHSA-6vwp-35w3-xph8 · Aviso do Fabricante
• https://openeuler.org/en/security/safety-bulletin/detail.html?id=openEuler-SA-2022-1545 · Nota
• https://osv.dev/vulnerability/CVE-2019-17570 · Aviso do Fabricante