CVE-2022-0573:人工工厂易受不可信数据反序列化攻击

CVE ID	严重程度	发表的日期	日期更新
cve - 2022 - 0573	高	12/5/2022

在7.36.1和6.23.41之前，JFrog Artifactory容易受到不受信任数据的不安全反序列化的攻击，这可能导致DoS，特权升级和远程代码执行，当低特权认证用户由于用户提供的序列化对象验证不足而发送特制请求时。

CVSSv3.1基础分数：8.8AV: N /交流:L /公关:L / UI: N / S: U / C: H /我:H: H

产品	影响版本	打补丁的版本
Artifactory (7. x)	< 7.36.1	7.17.16 7.18.12 7.19.13 7.21.25 7.25.9 7.27.15 7.29.10 7.31.16 7.33.12 7.34.4 7.35.1 7.36.1
Artifactory (6. x)	< 6.23.41	6.23.41

此漏洞影响JFrog人工部署。

此问题要求攻击者具有对JFrog Artifactory的身份验证访问权限。

如果您的环境允许匿名访问，则暴露于漏洞的可能性更高。

受影响的云环境已经使用固定版本进行了加固。对于云实例不需要任何操作。

要解决这个问题，需要采取一些行动．

将您的Artifactory版本升级到下面列出的其中一个版本:

您可以通过遵循最佳实践并禁用对JFrog平台的匿名访问来减轻此问题的影响。请查看以下方面的最佳实践禁用匿名访问在JFrog知识库中。

默认情况下，从6.12.0和7.0.0版本开始的新Artifactory和Edge安装禁用匿名访问。

cwe - 502：不可信数据的反序列化

这个问题是由苹果信息安全公司的Matthias Kaiser和Jonni Passki发现并报告的。

如果您对此建议有任何疑问或疑虑，请在JFrog支持门户．