Hoch

Graylog vulnerable to instantiation of arbitrary classes triggered by API request

Veröffentlicht: 07.02.2024
Aktualisiert: 11.10.2026 13:20

Summary

Arbitrary classes can be loaded and instantiated using a HTTP PUT request to the /api/system/cluster_config/ endpoint.

Details

Graylog's cluster config system uses fully qualified class names as config keys. To validate the existence of the requested class before using them, Graylog loads the class using the class loader.

https://github.com/Graylog2/graylog2-server/blob/e458db8bf4f789d4d19f1b37f0263f910c8d036c/graylog2-server/src/main/java/org/graylog2/rest/resources/system/ClusterConfigResource.java#L208-L214

PoC

A request of the following form will output the content of the /etc/passwd file:

bash

curl -u admin:<admin-password> -X PUT http://localhost:9000/api/system/cluster_config/java.io.File \
    -H "Content-Type: application/json" \
    -H "X-Requested-By: poc" \
    -d '"/etc/passwd"'

To perform the request, authorization is required. Only users posessing the clusterconfigentry:create and clusterconfigentry:edit permissions are allowed to do so. These permissions are usually only granted to Admin users.

Impact

If a user with the appropriate permissions performs the request, arbitrary classes with 1-arg String constructors can be instantiated.

This will execute arbitrary code that is run during class instantiation.

In the specific use case of java.io.File, the behaviour of the internal web-server stack will lead to information exposure by including the entire file content in the response to the REST request.

Credits

Analysis provided by Fabian Yamaguchi - Whirly Labs (Pty) Ltd

Betroffene Software

Klicken Sie auf eine Technologie, um alle zugehörigen Schwachstellen anzuzeigen.

Plattform	Paket	Anfällige Versionen	Behoben in
Java / Kotlin (Maven)	org.graylog2:graylog2-server	>= 2.0.0, < 5.1.11, >= 5.2.0-alpha.1, < 5.2.4	5.1.11, 5.2.4

Verweise

CVSS-Wert 8.8/10

CVSS-Vektor: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Schwäche (CWE): CWE-284
Plattform: Java / Kotlin (Maven)
Paket: org.graylog2:graylog2-server
Veröffentlicht: 07.02.2024
Aktualisiert: 11.10.2026 13:20

Quellen und Lizenzen

OSV / GitHub Advisory Database - GHSA-p6gg-5hf4-4rgj - CC BY 4.0

Schwachstellenhistorie: org.graylog2:graylog2-server

Alle veröffentlichten Schwachstellen dieses Pakets (Java / Kotlin (Maven)), neueste zuerst. Zeigt, ob es ein einmaliger Ausrutscher ist oder ein Paket, das man im Auge behalten muss.

Alle (16) im Archiv

Einträge insgesamt: 16
Erste → letzte: 05.2022 09.2026
Ohne Fix: 0
In Angriffen ausgenutzt: 0

Verteilung nach Schweregrad

Hoch 5
Mittel 8
Niedrig 3

Veröffentlichungen pro Jahr

2022: 3
2023: 3
2024: 2
2025: 4
2026: 4

28.08.2026

Fortigate syslog message parser can be exploited to modify or delete fields from the original message

Hoch · 7.5 CVE-2026-55841 < 6.3.12, >= 7.0.0, < 7.0.7, >= 7.1.0, < 7.1.2 6.3.12, 7.0.7, 7.1.2
30.06.2025

Graylog vulnerable to privilege escalation through API tokens

Hoch CVE-2025-53106 >= 6.2.0, < 6.2.4, >= 6.3.0-alpha.1, < 6.3.0-rc.2 6.2.4, 6.3.0-rc.2
07.05.2025

Graylog Allows Session Takeover via Insufficient HTML Sanitization

Hoch · 8.0 CVE-2025-46827 < 6.0.14, >= 6.1.0, < 6.1.10 6.0.14, 6.1.10
07.05.2025

Graylog Allows Stored Cross-Site Scripting via Files Plugin and API Browser

Hoch · 7.3 ghsa-q9q2-3ppx-mwqf < 6.2.0 6.2.0
07.02.2024

Graylog vulnerable to instantiation of arbitrary classes triggered by API request dieser Eintrag

Hoch · 8.8 CVE-2024-24824 >= 2.0.0, < 5.1.11, >= 5.2.0-alpha.1, < 5.2.4 5.1.11, 5.2.4

Erkennen Sie Schwachstellen in Ihrer Anwendung

Mit der DockRay-Integration und aktivierter Softwareinventarisierung prüft DockRay gemeldete Komponentenversionen auf bekannte Schwachstellen und benachrichtigt Sie über bestätigte Treffer. Die Abdeckung hängt von der unterstützten Technologie und den verfügbaren Meldungen ab.

Anwendung verbinden