Payara Server allows remote attackers to load malicious code on the server once a JNDI directory scan is performed

緊急 9.8CVE-2023-28462 · GHSA-xc93-587g-mxm7 · 30/03/2023 公開 · 17/06/2026 更新

要点

CVE-2023-28462 は fish.payara.server:payara-aggregator, payara server (payara) に影響する深刻度「緊急」 (CVSS 9.8) の脆弱性です。
今後30日間に悪用される確率（EPSS）：0.94%（全脆弱性の 60.9% より高い）。
対処：6.2022.1.Alpha3 以降に更新してください。

パッケージ	影響を受けるバージョン	修正済みバージョン
fish.payara.server:payara-aggregator Maven	`≥ 5.2020.1, < 6.2022.1.Alpha3`	`6.2022.1.Alpha3`
payara server payara	`≥ 4.1.2.191, ≤ 5.0.0≥ 5.20.0≥ 5.2020.1`	修正版なし

概要

A JNDI rebind operation in the default ORB listener in Payara Server 4.1.2.191 (Enterprise), 5.20.0 and newer (Enterprise), and 5.2020.1 and newer (Community), when Java 1.8u181 and earlier is used, allows remote attackers to load malicious code on the server once a JNDI directory scan is performed.

NVD の説明