Exploitation active confirmée

Ajoutée au catalogue CISA KEV le 10/12/2021, correctif exigé avant le 10/06/2022 pour les agences fédérales américaines.

Action requise : Apply updates per vendor instructions.

Description officielle (NVD)

The JBoss Application Server, shipped with Red Hat Enterprise Application Platform 5.2, allows an attacker to execute arbitrary code via crafted serialized data.

Preuves de concept publiques (11)

Dépôts tiers non vérifiés, parfois piégés. Ne les exécutez jamais en production : uniquement dans un environnement de test isolé.

yunxu1/jboss-_CVE-2017-12149 · ★ 207 · 28/11/2017
CVE-2017-12149 jboss反序列化可回显
sevck/CVE-2017-12149 · ★ 22 · 21/11/2017
CVE-2017-12149 JBOSS as 6.X反序列化(反弹shell版)
1337g/CVE-2017-12149 · ★ 15 · 22/12/2017
CVE-2017-12149 JBOSS RCE (TESTED)
jreppiks/CVE-2017-12149 · ★ 14 · 22/08/2019
Jboss Java Deserialization RCE (CVE-2017-12149)
Xcatolin/jboss-deserialization · ★ 0 · 30/05/2021
JBoss CVE-2017-12149 (Insecure Deserialization - RCE) Exploitation Lab.
VVeakee/CVE-2017-12149 · ★ 0 · 14/04/2022
MrE-Fog/jboss-_CVE-2017-12149 · ★ 0 · 06/08/2023
JesseClarkND/CVE-2017-12149 · ★ 0 · 30/04/2024
Update of https://github.com/1337g/CVE-2017-12149 to work with python3
zesnd/cve-2017-12149 · ★ 0 · 21/12/2024
galois17/cve-2017-12149-playground · ★ 0 · 01/01/2026