PT-2021-11779 · Red Hat · Jboss-Remoting
Publicado
2021-06-02
·
Atualizado
2022-03-18
·
CVE-2020-35510
CVSS v3.1
7.5
Alta
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:N/I:N/A:H |
**Nome do software vulnerável e versões afetadas:
Versões do jboss-remoting anteriores à 5.0.20.SP1-redhat-00001
Descrição:
Foi encontrada uma falha no jboss-remoting que permite que um invasor mal-intencionado faça com que threads fiquem bloqueadas indefinidamente no servidor EJB. Isso pode ser feito escrevendo uma sequência de bytes correspondente às mensagens esperadas de uma solicitação bem-sucedida do cliente EJB, mas omitindo as mensagens ACK, ou adulterando o código do jboss-remoting e excluindo as linhas que enviam a mensagem ACK do código do cliente EJB. O resultado é uma negação de serviço, sendo a maior ameaça à disponibilidade do sistema.
Recomendações:
Para versões anteriores à 5.0.20.SP1-redhat-00001, atualize para a versão 5.0.20.SP1-redhat-00001 ou posterior para resolver o problema. Como solução alternativa temporária, considere restringir o acesso ao servidor EJB para minimizar o risco de exploração.
Correção
Resource Exhaustion
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Enumeração de Fraquezas
Identificadores relacionados
Produtos afetados
Jboss-Remoting