阿里云漏洞库

严重 Aspera Faspex Yaml 反序列化漏洞（CVE-2022-47986）

CVE编号

CVE-2022-47986

利用情况

EXP 已公开

补丁情况

官方补丁

披露时间

2023-02-03

该漏洞EXP已公开传播，漏洞利用成本极低，建议您立即关注并修复。

漏洞描述

IBM Aspera faspex™ 支持通过电子邮件样式的应用执行全球用户对用户的文件传递和协作，帮助分散于各地的团队使用标准 Web 浏览器、桌面应用或移动应用高速发送和接收大小无限制的数字数据包。CVE-2022-47986 中，攻击者可在无需登录的情况下触发yaml反序列化，执行任意命令，控制服务器。

解决建议

官方已发布安全更新，建议升级。

参考链接
http://packetstormsecurity.com/files/171772/IBM-Aspera-Faspex-4.4.1-YAML-Dese...
https://exchange.xforce.ibmcloud.com/vulnerabilities/243512
https://www.ibm.com/docs/en/aspera-faspex/4.4?topic=notes-release-aspera-faspex-442
https://www.ibm.com/support/pages/node/6952319

受影响软件情况

1
#	类型	厂商	产品	版本	影响面
	运行在以下环境
	应用	ibm	aspera_faspex	*		Up to (including) 4.4.1
	运行在以下环境
	应用	ibm	aspera_faspex	4.4.1	-

攻击路径

远程
攻击复杂度

容易
权限要求

无需权限
影响范围

全局影响
EXP成熟度

EXP 已公开
补丁情况

官方补丁
数据保密性

数据泄露
数据完整性

传输被破坏
服务器危害

服务器失陷
全网数量

N/A

CWE-ID	漏洞类型
CWE-502	可信数据的反序列化

严重 Aspera Faspex Yaml 反序列化漏洞（CVE-2022-47986）

漏洞描述

解决建议

参考链接

受影响软件情况