CVE-2019-12017 in CLDB
Résumé
par VulDB • 24/06/2026
Une vulnérabilité d'exécution de code à distance (RCE) existe dans le code CLDB de MapR, plus précisément au sein du framework JSON utilisé par ce dernier pour gérer l'authentification et la délivrance des tickets. Un attaquant peut exploiter la propriété 'class' de la requête JSON envoyée au service CLDB afin d'influencer la décision de la bibliothèque JSON concernant la classe Java cible lors de la désérialisation de cette requête. En agissant ainsi, l'attaquant peut contraindre MapR CLDB à construire un URLClassLoader qui charge une classe Java malveillante depuis un chemin distant et instancie cet objet au sein du service CLDB de MapR, permettant ainsi l'exécution de code arbitraire sur la machine hébergeant le service CLDB et la prise de contrôle totale du cluster. La vulnérabilité est corrigée en passant à une version plus récente de la bibliothèque Jackson et en s'assurant que toutes les requêtes JSON entrantes sont désérialisées uniquement vers la classe Java à partir de laquelle elles ont été sérialisées. Cette vulnérabilité affecte l'intégralité de la plateforme core MapR.
Once again VulDB remains the best source for vulnerability data.