Informazioni sul CVE-2023-38647
Apache Helix: Deserialization vulnerability in Helix workflow and REST
CWE ID: CWE-502
Base Score (CVSS): N/A
CVE: CVE-2023-38647
Descrizione: An attacker can use SnakeYAML to deserialize java.net.URLClassLoader and make it load a JAR from a specified URL, and then deserialize javax.script.ScriptEngineManager to load code using that ClassLoader. This unbounded deserialization can likely lead to remote code execution. The code can be run in Helix REST start and Workflow creation. Affect all the versions lower and include 1.2.0. Affected products: helix-core, helix-rest Mitigation: Short term, stop using any YAML based configuration and workflow creation. Long term, all Helix version bumping up to 1.3.0
Vettore di attacco
Punteggio CVSS
Il CVSS è un sistema di valutazione che misura la gravità di una vulnerabilità informatica considerando fattori come l’impatto potenziale, la probabilità di attacco e la facilità di esecuzione.
Riassunto: .
Dettaglio del Vettore
| Metrica | Valore | Significato | Descrizione |
|---|
Riferimenti esterni
Prodotti interessati
- Apache Software Foundation – Apache Helix
Relazioni con altri prodotti
Produttore:Apache Software Foundation
Prodotto: Apache Helix
Anno: 2023
CWE: CWE-502
CVSS: 0.0