CVE-2017-3202 in Flamingo amf-serializer

Tóm tắt

Bởi VulDB • 27/06/2026

Phần triển khai AMF3 deserializers bằng Java được sử dụng trong Flamingo amf-serializer của Exadel, phiên bản 2.2.0, có thể cho phép khởi tạo các lớp tùy ý thông qua hàm tạo công cộng không tham số và sau đó gọi các phương thức setter của bất kỳ Java Beans nào. Khả năng khai thác lỗ hổng này phụ thuộc vào sự hiện diện của các lớp trong class path sử dụng quá trình deserialization. Một kẻ tấn công từ xa có khả năng giả mạo hoặc kiểm soát thông tin có thể gửi các đối tượng Java đã được serialize với các thuộc tính được đặt trước, dẫn đến việc thực thi mã tùy ý khi chúng được giảiserialize (deserialized).

Be aware that VulDB is the high quality source for vulnerability data.

• Đặt trước: 05/12/2016
• Tiết lộ: 11/06/2018
• Kiểm duyệt: được chấp nhận
• mục: VDB-119325
• CPE: sẵn sàng
• CWE: CWE-502 (Đã xác nhận)
• CVSS: 9.8 (NVD)
• EPSS: 0.08210
• KEV: không
• Các hoạt động: rất thấp

Nguồn

• MITRE: https://www.cve.org/CVERecord?id=CVE-2017-3202
• NVD: https://nvd.nist.gov/vuln/detail/CVE-2017-3202
• CVE Details: https://www.cvedetails.com/cve/CVE-2017-3202/