JVN#38787103
JBoss RichFaces において任意のコードが実行される脆弱性

JBoss RichFaces には、deserialize の処理に問題があり、任意のコードが実行される脆弱性が存在します。

下記のバージョンを使って作成された RichFaces アプリケーションが本脆弱性の影響を受けます：

• RichFaces 5.x
• RichFaces 4.x
• RichFaces 3.x

JBoss RichFaces は、Ajax 機能を持つウェブアプリケーションを作成するためのフレームワークです。JBoss RichFaces で作成されたアプリケーションには、外部からの入力を自動的に deserialize する機能が提供されています。この機能は、信頼できないデータを deserialize してしまうため、任意のコードが実行される脆弱性が存在します。

細工された入力を処理することで、サーバ上で任意のファイルが書き込まれたり、任意のコードを実行されたりするなどの可能性があります。

パッチを適用する
開発者が提供する情報をもとに各バージョンに対応したパッチを適用してください。