PT-2021-11990 · Rabbitmq · Jms Client For Rabbitmq

Publicado 2021-03-12 · Atualizado 2021-12-10 · CVE-2020-36282

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

**Nome do software vulnerável e versões afetadas:

JMS Client for RabbitMQ, versões 1.x a 1.15.1

JMS Client for RabbitMQ, versões 2.x a 2.1.x

Descrição:

O problema está relacionado a uma deserialização insegura, que pode resultar na execução de código por meio de dados StreamMessage manipulados.

Recomendações:

Para o JMS Client for RabbitMQ, versões 1.x a 1.15.1, atualize para a versão 1.15.2 ou posterior.

Para o JMS Client for RabbitMQ, versões 2.x a 2.1.x, atualize para a versão 2.2.0 ou posterior.

Correção

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-502

Identificadores relacionados

CVE-2020-36282

GHSA-V525-C3G5-CG9P

Produtos afetados

Jms Client For Rabbitmq

Referências · 10

• https://github.com/rabbitmq/rabbitmq-jms-client/issues/135 · Correção
• https://github.com/rabbitmq/rabbitmq-jms-client/releases/tag/v1.15.2 · Nota
• https://github.com/rabbitmq/rabbitmq-jms-client/releases/tag/v2.2.0 · Nota
• https://github.com/rabbitmq/rabbitmq-jms-client/pull/136/commits/f647e5dbfe055a2ca8cbb16dd70f9d50d888b638 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2020-36282 · Nota de Segurança
• https://medium.com/%40ramon93i7/a99645d0448b · Nota
• https://osv.dev/vulnerability/CVE-2020-36282 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-v525-c3g5-cg9p · Aviso do Fabricante
• https://medium.com/@ramon93i7/a99645d0448b · Nota
• https://t.me/cvenotify/11222 · Publicação no Telegram