PT-2022-27480 · Apache · Apache Soap

Tsungshu Chiu · Publicado 2022-11-14 · Atualizado 2024-08-03 · CVE-2022-45378

Positive Technologies (AI Summary) · Pt

CVSS v3.1

9.8

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Apache SOAP (versões afetadas não especificadas)

Descrição

A configuração padrão do Apache SOAP inclui um RPCRouterServlet que fica disponível sem autenticação, permitindo que um invasor invoque métodos no classpath que atendam a determinados critérios. Dependendo das classes disponíveis no classpath, isso pode levar à execução remota arbitrária de código. Esta vulnerabilidade afeta apenas produtos que não são mais suportados pelo mantenedor.

Recomendações

No momento, não há informações sobre uma versão mais recente que contenha uma correção para esta vulnerabilidade.

Missing Authentication

Improper Authentication

Deserialization of Untrusted Data

Enumeração de Fraquezas

CWE-306

CWE-287

CWE-502

Identificadores relacionados

CVE-2022-45378

GHSA-789V-H9HW-38PG

Produtos afetados

Apache Soap

Referências · 11

• https://t.me/cvenotify/86695 · Publicação no Telegram
• https://lists.apache.org/thread/g4l64s283njhnph2otx7q4gs2j952d31 · Aviso do Fabricante
• http://openwall.com/lists/oss-security/2022/11/14/4 · Nota
• https://t.me/cvenotify/53104 · Publicação no Telegram
• https://t.me/cvenotify/88776 · Publicação no Telegram
• https://t.me/cvenotify/37616 · Publicação no Telegram
• https://nvd.nist.gov/vuln/detail/CVE-2022-45378 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-45378 · Aviso do Fabricante
• https://osv.dev/vulnerability/GHSA-789v-h9hw-38pg · Aviso do Fabricante
• https://t.me/cvenotify/45246 · Publicação no Telegram
• https://t.me/cvenotify/53139 · Publicação no Telegram