PT-2020-7502 · Nuxeo · Nuxeo Platform

Arun Neelicattu + 1 · Publicado 2020-02-06 · Atualizado 2020-02-13 · CVE-2013-4521

Positive Technologies (AI Summary) · Pt

CVSS v2.0

7.5

Alta

Vetor base

AV:N/AC:L/Au:N/C:P/I:P/A:P

**Nome do software vulnerável e versões afetadas:

Nuxeo Platform, versões 5.6.0 a 5.6.0, anteriores à HF27

Nuxeo Platform, versões 5.8.0 a 5.8.0, anteriores à HF-01

Descrição:

A vulnerabilidade permite que invasores remotos executem código arbitrário por meio de dados serializados maliciosos, pois a implementação do RichFaces não restringe as classes para as quais os métodos de desserialização podem ser chamados.

Recomendações:

Para as versões 5.6.0 a 5.6.0 da Nuxeo Platform anteriores à HF27, aplique a correção 27 para resolver o problema.

Para as versões 5.8.0 a 5.8.0 da Nuxeo Platform anteriores à HF-01, aplique a correção 01 para resolver o problema.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2013-4521

Produtos afetados

Nuxeo Platform

Referências · 5

• https://github.com/nuxeo/richfaces/commit/6cbad2a6dcb70d3e33a6ce5879b1a3ad79eb1aec · Correção
• https://bugzilla.redhat.com/show_bug.cgi?id=1027052 · Correção
• https://nvd.nist.gov/vuln/detail/CVE-2013-4521 · Nota de Segurança
• https://t.me/cvenotify/834 · Publicação no Telegram
• http://doc.nuxeo.com/display/public/ADMINDOC58/Nuxeo+Security+Hotfixes · Aviso do Fabricante