Estoy en pruebas de penetración en un servidor con Linux RHEL6 / 7 os. Las bases de datos de vulnerabilidades como enlace mencionaron la vulnerabilidad CVE-2014-2483 para los sistemas RHEL de Linux en Linux. Busqué la forma en que puedo probar mi destino para detectar la vulnerabilidad, pero no encontré nada.
¿Cómo puedo probar mi servidor para esta vulnerabilidad?
La forma mejor / más precisa de probar cosas como esta es en un enfoque de evaluación de seguridad de caja blanca, al verificar la versión de Java instalada en el sistema. Por lo tanto, en un sistema de redhat, algo así como rpm -qa proporcionaría la versión instalada, luego verifique los registros de cambios del paquete que debería indicar qué CVE se ha abordado.
Para automatizar eso, algo como Nessus se puede usar con credenciales para proporcionar información. en qué paquetes obsoletos están instalados en un sistema.
Si está tratando de hacer esta "caja negra", tendrían que indagar en los detalles exactos de la vulnerabilidad (lo que puede ser complicado si no se han divulgado los detalles técnicos, como es el caso). con muchos problemas) y luego ver si es explotable de forma remota.
Hay una comprobación de OpenVAS que busca específicamente CVE-2014-2483.
Se pueden encontrar referencias adicionales en Detalles del CVE .
Lea otras preguntas en las etiquetas vulnerability penetration-test linux java