Red Hat · JBoss
CVE-2010-1428
Red Hat JBoss Information Disclosure Vulnerability
Cos'è
The Web Console (aka web-console) in JBossAs in Red Hat JBoss Enterprise Application Platform (aka JBoss EAP or JBEAP) 4.2 before 4.2.0.CP09 and 4.3 before 4.3.0.CP08 performs access control only for the GET and POST methods, which allows remote attackers to obtain sensitive information via an unspecified request that uses a different method.
CISA: Unauthenticated access to the JBoss Application Server Web Console (/web-console) is blocked by default. However, it was found that this block was incomplete, and only blocked GET and POST HTTP verbs. A remote attacker could use this flaw to gain access to sensitive information.
Cosa fare
Apply updates per vendor instructions.
Scadenza per le agenzie federali USA: 15 giugno 2022
- Aggiunta all'elenco CISA
- 25 maggio 2022
- Pubblicato
- 28 aprile 2010
- Gravità
- Media 5,9 CVSS 3.1
- Probabilità di attacchi nei prossimi 30 giorni (EPSS)
- 53% tra il 1,0% più alto di tutte le vulnerabilità note
- Tipo di debolezza
- CWE-264
- Più dettagli
- NVD · CVE.org · CISA
Tutte le fonti (12)
- https://rhn.redhat.com/errata/RHSA-2010-0379.html
- https://rhn.redhat.com/errata/RHSA-2010-0378.html
- http://marc.info/?l=bugtraq&m=132698550418872&w=2
- https://rhn.redhat.com/errata/RHSA-2010-0376.html
- https://rhn.redhat.com/errata/RHSA-2010-0377.html
- http://marc.info/?l=bugtraq&m=132698550418872&w=2
- https://exchange.xforce.ibmcloud.com/vulnerabilities/58148
- https://bugzilla.redhat.com/show_bug.cgi?id=585899
- http://www.vupen.com/english/advisories/2010/0992
- http://securitytracker.com/id?1023917
- http://www.securityfocus.com/bid/39710
- http://secunia.com/advisories/39563
Altre falle sfruttate di Red Hat
| Aggiunto | Vulnerabilità | Prodotto | Gravità | Probabilità di attacco |
|---|---|---|---|---|
| 25 mag 2022 | Authentication Bypass | JBoss | Bassa 3,7 | 74% |
| 26 ago 2026 | Race Condition | Libuser | Alta 7,4 | 8,5% |
| 26 ago 2026 | Privilege Escalation | Automatic Bug Reporting Tool | Alta 7,8 | 5,0% |
| 28 set 2023 | Expression Language Injection | JBoss RichFaces Framework | Critica 9,8 | 74% |
| 12 mag 2023 | Incorrect Authorization | Polkit | Alta 7,8 | 24% |
| 27 giu 2022 | Out-of-Bounds Read and Write | Polkit | Alta 7,8 | 95% |
| 10 dic 2021 | Linux JBoss Seam 2 Remote Code Execution | JBoss Seam 2 | Alta 8,8 | 83% |
| 10 dic 2021 | Remote Code Execution | JBoss Application Server | Critica 9,8 | 91% |
Fonti: Known Exploited Vulnerabilities (CISA, pubblico dominio), CVE records (cve.org) e EPSS (FIRST). La probabilità di attacco è la stima EPSS che qualcuno provi a sfruttare la falla nei prossimi 30 giorni.