CVE-2019-12017 in CLDB
Riassunto
di VulDB • 24/06/2026
È presente una vulnerabilità di esecuzione remota di codice (Remote Code Execution) nel codice CLDB di MapR, nello specifico nel framework JSON utilizzato dal codice CLDB che gestisce l'accesso e il rilascio dei ticket. Un attaccante può utilizzare la proprietà 'class' della richiesta JSON inviata al CLDB per influenzare la decisione della libreria JSON riguardo alla classe Java a cui deserializzare tale richiesta JSON. In questo modo, l'attaccante può forzare MapR CLDB a costruire un URLClassLoader che carica una classe Java malevola da un percorso remoto e istanzia tale oggetto all'interno di MapR CLDB, eseguendo così codice arbitrario sulla macchina in esecuzione con MapR CLDB ed assumendo il controllo del cluster. La vulnerabilità è risolta passando alla più recente libreria Jackson e assicurandosi che tutte le richieste JSON in ingresso vengano deserializzate esclusivamente nella stessa classe da cui sono state serializzate. Questa vulnerabilità interessa l'intera piattaforma core di MapR.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.