PT-2020-6435 · Unknown+1 · Jakarta Expression Language+1

Publicado 2020-04-14 · Atualizado 2022-04-25 · CVE-2021-28170

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:L/A:N

Nome do software vulnerável e versões afetadas

Implementação da Jakarta Expression Language versão 3.0.3 e anteriores

Descrição

O problema está relacionado a um bug na função ELParserTokenManager da implementação da Jakarta Expression Language, que permite que expressões EL inválidas sejam avaliadas como se fossem válidas. Isso pode, potencialmente, permitir que um invasor remoto comprometa a integridade dos dados ao explorar a vulnerabilidade.

Recomendações

Para a implementação da Jakarta Expression Language versão 3.0.3 e anteriores, no momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Exploit

RCE

Enumeração de Fraquezas

CWE-20

CWE-917

Identificadores relacionados

BDU:2021-04679

CVE-2021-28170

GHSA-V6W3-2PRQ-H95F

RHSA-2021:3466

RHSA-2021:3467

RHSA-2021:3468

RHSA-2021:3656

RHSA-2021:3658

RHSA-2025:9582

Produtos afetados

Debian

Jakarta Expression Language

Referências · 16

• 🔥 https://github.com/eclipse-ee4j/el-ri/issues/155 · Exploit
• 🔥 https://securitylab.github.com/advisories/GHSL-2020-021-jakarta-el · Exploit
• https://github.com/eclipse-ee4j/el-ri/pull/160/commits/b6a3943ac5fba71cbc6719f092e319caa747855b · Nota
• https://github.com/eclipse-ee4j/el-ri · Nota
• https://cve.org/CVERecord?id=CVE-2021-28170 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2021-28170 · Aviso do Fabricante
• https://osv.dev/vulnerability/DEBIAN-CVE-2021-28170 · Aviso do Fabricante
• https://osv.dev/vulnerability/UBUNTU-CVE-2021-28170 · Aviso do Fabricante
• https://security.snyk.io/vuln/SNYK-JAVA-ORGGLASSFISH-2841368 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2021-28170 · Nota de Segurança
• https://oracle.com/security-alerts/cpuapr2022.html · Correção
• https://bdu.fstec.ru/vul/2021-04679 · Nota de Segurança
• https://security.snyk.io/vuln/SNYK-JAVA-ORGGLASSFISH-1297098 · Nota
• https://osv.dev/vulnerability/GHSA-v6w3-2prq-h95f · Aviso do Fabricante
• https://security-tracker.debian.org/tracker/CVE-2021-28170 · Aviso do Fabricante