- Aktif istismar
- CWE-94
CVE-2018-14667
RichFaces 3.x'te UserResource üzerinden Expression Language enjeksiyonu ve uzaktan kod çalıştırma
- Yayımlandı
- Güncellendi
- 22 Eki 2025
- Açık yaşı
- 2912 gün
- Kaydı açan
- redhat
Yönetici özeti
Eski RichFaces 3.x sürümünü kullanan web uygulamaları, internetten herhangi biri tarafından ele geçirilebilir. Zafiyetin aktif olarak istismar edildiği bilindiği için risk çok yüksektir ve acil önlem alınmalıdır. Uygulamanın kontrolü kaybedilirse veri sızıntısı ve hizmet kesintisi yaşanabilir.
ÖzetTürkçe
RichFaces Framework 3.x sürümleri (3.3.4 dahil) UserResource kaynağı üzerinden Expression Language (EL) enjeksiyonu zafiyeti içeriyor. Kimliği doğrulanmamış uzak bir saldırgan, org.ajax4jsf.resource.UserResource$UriData üzerinden Java serileştirilmiş nesne zinciri göndererek zafiyeti istismar edebilir. RichFaces 3.x kullanan Java web uygulamaları etkilenir. Zafiyet CISA'nın bilinen istismar edilen zafiyetler (KEV) listesinde yer alıyor.
Saldırgan ne yapabilir?
Saldırgan, kimlik doğrulaması olmadan hedef sunucuda keyfi kod çalıştırabilir ve sistemin gizlilik, bütünlük ve erişilebilirliğini tamamen tehlikeye atabilir.
Kaynaktaki açıklama (İngilizce)
The RichFaces Framework 3.X through 3.3.4 is vulnerable to Expression Language (EL) injection via the UserResource resource. A remote, unauthenticated attacker could exploit this to execute arbitrary code using a chain of java serialized objects via org.ajax4jsf.resource.UserResource$UriData.
CISA'nın önerdiği eylem (İngilizce)
Apply mitigations per vendor instructions or discontinue use of the product if mitigations are unavailable.
Ne yapmalı?
- RichFaces 3.x kullanan uygulamaları envanterinizde belirleyin ve Red Hat'in yayımladığı güvenlik bültenindeki düzeltme ve azaltma talimatlarını uygulayın. Genel öneri
- Üretici talimatlarına göre azaltma önlemleri uygulayın; önlemler mümkün değilse ürünü kullanmayı bırakın. CISA
- Düzeltme uygulanana kadar uygulamaya internetten erişimi kısıtlayın veya WAF ile UserResource kaynağına yönelik istekleri engelleyin. Genel öneri
Ek önlemler
- Desteği sona ermiş RichFaces 3.x sürümünden desteklenen bir sürüme geçişi planlayın. Genel öneri
- Uygulama sunucusunu en az yetkili hesapla çalıştırın ve sunucudan dışarı çıkan bağlantıları kısıtlayın. Genel öneri
- Günlüklerde UserResource kaynağına yönelik olağandışı veya uzun istekleri izleyin ve olası ihlal belirtilerini inceleyin. Genel öneri
Bu açık kişisel verilerin sızmasına yol açabilir. Sistemlerinizde kullanıldığından şüpheleniyorsanız KVKK'daki ihlal bildirimi yükümlülüğünüzü (Kurul'a 72 saat içinde bildirim) hukuk danışmanınızla birlikte değerlendirin. Bu not hukuki tavsiye değildir.
Etkilenen sürümler1 yazılım
| Yazılım | Etkilenen | Düzeltildiği sürüm |
|---|---|---|
| [UNKNOWN] RichFaces | Sürüm belirtilmemiş | – |
Kaynaklar10 kaynak
- CVE.org kaydı
- NVD kaydı
- access.redhat.com/errata/RHSA-2018:3519 Üretici bülteni
- access.redhat.com/errata/RHSA-2018:3581 Üretici bülteni
- access.redhat.com/errata/RHSA-2018:3518 Üretici bülteni
- access.redhat.com/errata/RHSA-2018:3517 Üretici bülteni
- bugzilla.redhat.com/show_bug.cgi Diğer
- securitytracker.com/id/1042037 Diğer
- packetstormsecurity.com/…Richsploit-RichFaces-Exploitation-Toolkit.html Diğer
- seclists.org/fulldisclosure/2020/Mar/21 Diğer
Kayıt geçmişi
- CISA KEV listesine eklendi (saldırılarda kullanılıyor)
- Yayımlandı
İlgili açıklar
Türkçe metin, resmi kayıtlardaki bilgilerle yapay zekâ yardımıyla yazıldı ve yayından önce otomatik kontrollerden geçti. Bir değişikliği uygulamadan önce üreticinin duyurusuna mutlaka bakın.