ForgeRock · Access Management (AM)

CVE-2021-35464

ForgeRock Access Management (AM) Core Server Remote Code Execution Vulnerability

Exploitée dans des attaques Utilisée par des rançongiciels Critique 9,8 Risque d'attaque : >99,9%

De quoi s'agit-il

ForgeRock AM server before 7.0 has a Java deserialization vulnerability in the jato.pageSession parameter on multiple pages. The exploitation does not require authentication, and remote code execution can be triggered by sending a single crafted /ccversion/* request to the server. The vulnerability exists due to the usage of Sun ONE Application Framework (JATO) found in versions of Java 8 or earlier

CISA: ForgeRock Access Management (AM) Core Server allows an attacker who sends a specially crafted HTTP request to one of three endpoints (/ccversion/Version, /ccversion/Masthead, or /ccversion/ButtonFrame) to execute code in the context of the current user (unless ForgeRock AM is running as root user, which the vendor does not recommend).

Que faire

Apply updates per vendor instructions.

Échéance pour les agences fédérales américaines : 17 novembre 2021

Ajoutée à la liste de la CISA: 3 novembre 2021
Publiée: 22 juillet 2021
Gravité: Critique 9,8 CVSS 3.1
Probabilité d'attaques dans les 30 prochains jours (EPSS): >99,9% dans les 0,1% les plus à risque de toutes les failles connues
Faiblesse: CWE-502
Plus de détails: NVD · CVE.org · CISA

Toutes les références (4)

Sources : Known Exploited Vulnerabilities (CISA, domaine public), CVE records (cve.org) et EPSS (FIRST). Le risque d'attaque est l'estimation EPSS qu'une personne tente d'exploiter la faille dans les 30 prochains jours.