【漏洞通告】 Apache Tapestry反序列化漏洞（CVE-2022-46366）

01

组件介绍

Apache Tapestry是一种基于Java的Web应用程序框架。Tapestry采用了组件的概念。程序员可以应用现有的组件或自定义应用程序相关的组件来构建应用程序。

02

漏洞描述

美创安全实验室监测到一则Apache Tapestry组件存在反序列化漏洞的信息，漏洞编号：CVE-2022-46366，漏洞等级：高危。该漏洞是由于Apache Tapestry 3全版本允许对不受信任的数据进行反序列化。攻击者可利用该漏洞，构造恶意数据进行远程代码执行攻击，最终获取服务器最高权限。

03

影响范围

受影响版本：

• 3.0 ≤ Apache Tapestry < 4.0

04

处置建议

当前官方已发布最新版本，建议受影响的用户及时更新升级到最新版本。链接如下：

https://tapestry.apache.org/download.html