Podatność CVE-2022-35411

Podatność CVE-2022-35411

Publikacja: 2022-07-08

Opis:

rpc.py through 0.6.0 allows Remote Code Execution because an unpickle occurs when the "serializer: pickle" HTTP header is sent. In other words, although JSON (not Pickle) is the default data format, an unauthenticated client can cause the data to be processed with unpickle.

W naszej bazie, znaleźliśmy następujące noty dla tego CVE:

	Tytuł	Autor	Data
High	rpc.py 0.6.0 Remote Code Execution	Elias Hohl	02.08.2022

Typ:

NVD-CWE-noinfo

CVSS2 => (AV:N/AC:L/Au:N/C:P/I:P/A:P)

Ogólna skala CVSS	Znaczenie	Łatwość wykorzystania
7.5/10	6.4/10	10/10

Wymagany dostęp	Złożoność ataku	Autoryzacja
Zdalny	Niska	Nie wymagana
Wpływ na poufność	Wpływ na integralność	Wpływ na dostępność
Częściowy	Częściowy	Częściowy

Affected software
Rpc.py project -> Rpc.py

Referencje:

https://medium.com/@elias.hohl/remote-code-execution-0-day-in-rpc-py-709c76690c30

https://github.com/abersheeran/rpc.py/commit/491e7a841ed9a754796d6ab047a9fb16e23bf8bd

https://github.com/ehtec/rpcpy-exploit

Copyright 2024, cxsecurity.com