KnowSafe 安全预警：JBoss RichFaces EL表达式注入 安全漏洞

KnowSafe 安全预警：KnowSafe 安全团队监测到编号 AVD-2015-0279 的安全漏洞（危害等级：严重）已公开披露，相关用户应尽快排查并完成修复。

漏洞介绍

JBoss RichFaces是一个具有Ajax和JSF特性的Web框架。

JBoss RichFaces处理do参数存在安全漏洞，允许攻击者利用漏洞注入EL表达并执行任意java代码。

影响范围

应用：redhat richfaces（影响面 Up to (including) 4.5.4）

解决方案

目前厂商已经发布了升级补丁以修复这个安全问题，请到厂商的主页下载：

http://rhn.redhat.com/errata/RHSA-2015-0719.html

参考信息

http://jvn.jp/en/jp/JVN56297719/index.html

http://jvndb.jvn.jp/en/contents/2015/JVNDB-2015-001959.html

http://packetstormsecurity.com/files/153734/Tufin-Secure-Change-Remote-Code-Execution.html

http://packetstormsecurity.com/files/156663/Richsploit-RichFaces-Exploitation-Toolkit.html

http://rhn.redhat.com/errata/RHSA-2015-0719.html

KnowSafe 将持续跟踪该漏洞的利用情况与修复进展，如需漏洞管理与应急响应支持，欢迎联系 KnowSafe 安全团队。