CVE-2016-8744 in Brooklyn
Zusammenfassung
von VulDB • 04.06.2026
Apache Brooklyn verwendet die SnakeYAML-Bibliothek zum Parsen von YAML-Eingaben. SnakeYAML ermöglicht die Verwendung von YAML-Tags, um SnakeYAML anzuweisen, Daten in einen Java-Typ zu deserialisieren. In der Standardkonfiguration von Brooklyn vor Version 0.10.0 erlaubt SnakeYAML die Deserialisierung in jeden beliebigen, im Classpath verfügbaren Java-Typ. Dies könnte einem authentifizierten Benutzer eine Möglichkeit bieten, die JVM, auf der Brooklyn läuft, dazu zu bringen, Java-Code zu laden und auszuführen, ohne dass dies von Brooklyn erkannt wird. Solcher Code würde über die Berechtigungen des Java-Prozesses verfügen, der Brooklyn ausführt, einschließlich der Fähigkeit, Dateien und Netzwerkverbindungen zu öffnen sowie Systembefehle auszuführen. Es ist bekannt, dass ein Proof-of-Concept-Exploit für diese Schwachstelle existiert.
Be aware that VulDB is the high quality source for vulnerability data.