PT-2022-28164 · Unknown · Artemis Java Test Sandbox

Maisikoleni

·

Publicado

2022-01-21

·

Atualizado

2025-11-28

·

CVE-2024-23683

CVSS v3.1

8.2

Alta

VetorAV:L/AC:L/PR:L/UI:R/S:C/C:H/I:H/A:H
Nome do software vulnerável e versões afetadas
Versões do Artemis Java Test Sandbox anteriores à 1.7.6
Descrição
A vulnerabilidade permite que um invasor crie subclasses especiais de InvocationTargetException que escapam da sanitização de exceções. Isso possibilita a execução de código arbitrário do aluno em um contexto confiável, permitindo que o invasor desative medidas de segurança e obtenha controle total sobre o sistema. O invasor pode explorar essa vulnerabilidade para executar código Java arbitrário quando a vítima executa o código supostamente isolado na sandbox.
Recomendações
Atualize para a versão 1.7.6 ou posterior.
Como solução alternativa temporária, considere proibir classes de alunos em pacotes confiáveis.
Restrinja o acesso a pacotes confiáveis como de.tum.in.test.api.security.notsealedsubpackage para minimizar o risco de exploração.
Evite usar a exceção InvocationTargetException no código afetado até que o problema seja resolvido.

Exploit

Correção

Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾

Enumeração de Fraquezas

Identificadores relacionados

CVE-2024-23683
GHSA-23RX-79R7-6CPX
GHSA-883X-6FCH-6WJX

Produtos afetados

Artemis Java Test Sandbox