CVE-2017-8046 es una falla crítica (CVSS 9.8) en Spring Data REST anterior a 2.6.9 (Ingalls SR9) y 3.0.1 (Kay SR1), y en Spring Boot anterior a 1.5.9 y 2.0 M6. Un atacante puede enviar solicitudes PATCH con JSON especialmente diseñado para ejecutar código Java arbitrario en el servidor, sin autenticación previa. La causa raíz es una validación insuficiente de entrada (CWE-20).
El impacto real es alto: el EPSS indica 74.5% de probabilidad de explotación en los próximos 30 días (percentil 99%), y ya existen al menos 5 pruebas de concepto públicas en GitHub. Aunque Shodan no tiene hosts indexados actualmente, cualquier instancia sin parchear expuesta es un objetivo directo para toma de control total del servidor.
| CVE | CVE-2017-8046 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 9.8 / 10 |
| EPSS | 74.5% en 30 días (percentil 99) |
| CWE | CWE-20 |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com, github.com, github.com |
Productos afectados (catálogo NVD)
pivotal_software/spring_data_restvmware/spring_bootvmware/spring_data_rest