CVE-2017-3202 in Flamingo amf-serializer
सारांश
द्वारा VulDB • 02/07/2026
Exadel द्वारा विकसित Flamingo amf-serializer में प्रयुक्त AMF3 डीसीरियलाइज़र्स (deserializers) के जावा कार्यान्वयन, संस्करण 2.2.0, सार्वजनिक पैरामीटर रहित कंस्ट्रक्टर के माध्यम से मनमाने वर्गों को तत्कालीन रूप दे सकते हैं और इसके बाद मनमाने जावा बीन्स (Java Beans) की सेट्टर विधियों को कॉल कर सकते हैं। इस कमजोरी का शोषण करने की क्षमता क्लास पथ में उपलब्ध वर्गों पर निर्भर करती है जो डीसीरियलाइज़ेशन का उपयोग करते हैं। एक रिमोट आक्रामक, जिसके पास जानकारी को स्पूफ़ (spoof) या नियंत्रित करने की क्षमता हो सकता है, मनमाने गुणों के साथ पूर्व-सेट किए गए जावा ऑब्जेक्ट्स भेजने में सक्षम हो सकता है जो डीसीरियलाइज़ होने पर मनमाना कोड निष्पादन (arbitrary code execution) का कारण बनते हैं।
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.