Apache Flex BlazeDS (versiones 4.7.2 y anteriores) no restringía por defecto qué tipos se permitían al deserializar objetos AMF(X). Durante ese proceso se ejecuta código que, para varios tipos conocidos, produce efectos secundarios no deseados, y tipos desconocidos podrían comportarse igual. Existe un vector en la librería estándar de Java que permite a un atacante desencadenar deserialización de datos no confiables, y vectores conocidos en librerías de terceros pueden derivar en ejecución remota de código.
La vulnerabilidad (CWE-502) tiene CVSS 9.8 y un EPSS de 20,7% (percentil 97%), lo que indica probabilidad alta de explotación real. Afecta a Apache Flex BlazeDS y a HP XP Command View Advanced Edition. Shodan no registra hosts indexados con este CVE, por lo que el volumen de objetivos expuestos directamente en internet parece bajo, aunque el riesgo en entornos internos o detrás de proxies sigue siendo crítico.
| CVE | CVE-2017-5641 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 20.8% en 30 días (percentil 97) |
| CWE | CWE-502 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
Productos afectados (catálogo NVD)
Técnica MITRE ATT&CK
Mapeo automático best-effort por clase de vulnerabilidad (CWE) -- orientación, no certificación.