CVE-2013-4810

Falha de desserialização insegura nos servlets EJBInvokerServlet e JMXInvokerServlet do JBoss Application Server, que vêm embutidos e expostos sem autenticação em vários produtos HP (ProCurve Manager, PCM+, Identity Driven Manager e Application Lifecycle Management). Um atacante remoto sem credenciais envia um objeto Java serializado ('marshalled object') para esses endpoints e obtém execução de código arbitrário — no caso do PCM Plus, com privilégios de SYSTEM. É a mesma classe de vulnerabilidade estrutural do JBoss já catalogada antes em CVE-2007-1036, CVE-2010-0738 e CVE-2012-0874, apenas reaproveitada pelo NVD para instâncias específicas embutidas em produtos HP.

O JBoss AS expõe, por padrão em versões antigas, os invoker servlets EJBInvokerServlet e JMXInvokerServlet em caminhos HTTP previsíveis (tipicamente /invoker/EJBInvokerServlet e /invoker/JMXInvokerServlet). Esses servlets aceitam um corpo HTTP contendo um objeto Java serializado (Content-Type application/x-java-serialized-object) e o desserializam diretamente para invocar métodos em EJBs ou em MBeans expostos via JMX — sem qualquer verificação de autenticação ou de origem do objeto. Isso é uma desserialização insegura de dados não confiáveis (CWE-502): o atacante controla integralmente o objeto serializado, incluindo a classe alvo e os parâmetros de invocação.

O vetor é uma requisição HTTP POST direta ao servlet, sem autenticação, sem interação do usuário e com complexidade de ataque baixa (CVSS AV:N/AC:L). O pré-requisito real é que o invoker esteja acessível na rede — o que é o comportamento padrão dessas instalações HP com JBoss embutido, não uma configuração exótica, o que explica a criticidade alta. Usando o MBean jboss.system:service=MainDeployer (ou equivalente via JMXInvokerServlet), o atacante consegue instalar e implantar uma aplicação/WAR maliciosa arbitrária no servidor, resultando em execução de código com os privilégios do processo JBoss — SYSTEM no PCM Plus, administrativo no ALM. Existe PoC pública (Exploit-DB 28713) e a CVE está no catálogo KEV da CISA, o que confirma exploração ativa observada, embora não tenhamos detalhes sobre campanhas específicas nas fontes consultadas.

A HP publicou boletins de segurança distintos por produto: HPSBGN02952 para HP Application Lifecycle Manager (ALM) v11 rodando JBoss, com instruções de correção no documento KM00637722; e HPSBGN03323 para HP Business Service Automation Essentials Core 9.1x e 9.2 com JBoss (classificado por essa bulletin como divulgação de informação, não RCE), com atualização referenciada no documento KM01437082. Para ProCurve Manager (PCM/PCM+) e Identity Driven Manager, a fonte disponível aponta apenas para o portal de suporte HP (docId emr_na-c03897409) sem indicar número de patch ou build específico nas informações que apuramos — aplicar o boletim/patch oficial referenciado ali é o caminho correto, sem versão numérica confirmável aqui. Como controle compensatório quando a atualização não é imediata, remover ou bloquear o acesso de rede aos caminhos dos invoker servlets (via firewall, filtro no proxy reverso ou desabilitação do EJBInvokerServlet/JMXInvokerServlet na configuração do JBoss, quando o produto permitir) reduz a exposição sem exigir patch. Não confiar apenas em WAF genérico como mitigação suficiente: o payload é um blob serializado binário, difícil de assinar de forma confiável sem gerar falsos negativos.

Procurar em logs de acesso web por requisições POST para caminhos como /invoker/EJBInvokerServlet e /invoker/JMXInvokerServlet, especialmente com Content-Type application/x-java-serialized-object ou corpo binário incomum vindo de IPs externos — a simples existência desses endpoints acessíveis pela rede já é sinal de exposição, independente de tentativa de exploração. Não há assinatura de payload universalmente confiável, já que ferramentas de exploração (incluindo variantes de ysoserial/JexBoss) geram objetos serializados diferentes; a ausência de padrão fixo no payload é o principal limitador para detecção baseada em assinatura.