CVE-2023-46604: RCE critica nel protocollo OpenWire Java

Il CVE-2023-46604 è una vulnerabilità di Remote Code Execution nel marshaller del protocollo OpenWire Java. Un attaccante remoto con accesso di rete a un broker o client basato su Java può manipolare classi serializzate nel protocollo OpenWire per istanziare classi arbitrarie dal classpath, ottenendo esecuzione di codice arbitrario. Il prodotto specifico non è riportato nella documentazione ufficiale, ma la vulnerabilità colpisce componenti critiche di comunicazione basate su questo protocollo.

La vulnerabilità ha un punteggio CVSS di 10,0 e gravità critical. È stata pubblicata il 2023-10-27. Segnali contemporanei provenienti da repository pubblici indicano che repository dichiaranti di contenere exploit per questa vulnerabilità sono stati identificati: questo conferma l'attenzione attiva della comunità di ricerca sulla falla.

Aggiorna immediatamente broker e client OpenWire alle versioni corrette: 5.15.16, 5.16.7, 5.17.6 o 5.18.3 e successive. Verifica l'inventario completo di tutti i componenti che usano il protocollo OpenWire in produzione presso la tua organizzazione. Se un aggiornamento immediato non è possibile, implementa restrizioni di accesso di rete ai broker OpenWire e monitora il traffico OpenWire per attività sospette. Contatta i vendor per confermare disponibilità e tempistica delle patch.