Vulnérabilité dans Adobe Connect

Adobe Security, en collaboration avec le chercheur Cyku, a publié un bulletin de sécurité concernant le produit Adobe Connect.

CVE-2021-40719[Score CVSS v3.1: 9,8]
Le processus dedésérialisation des messages AMF dans Adobe Connect n’est pas sécurisé. Certaines librairies Java permettent de transformer un objet en un flux d’octets et vice-versa. Ces processus sont appelés sérialisation et désérialisation. Il est souvent pratique de sérialiser des objets pour la communication ou de les enregistrer pour une utilisation ultérieure. Cependant, les données ou le code désérialisé peuvent souvent être modifiés sans utiliser les fonctions d'accès fournies s'il n'utilise pas la cryptographie pour se protéger. Un attaquant distant et authentifié peut exploiter le processus de désérialisation des mesages AMF, en intégrant des bits malveillants, pour exécuter du code arbitraire sur le serveur vulnérable.