Wysoka

Graylog vulnerable to instantiation of arbitrary classes triggered by API request

Ujawniono: 07.02.2024
Aktualizacja: 11.10.2026 13:20

Summary

Arbitrary classes can be loaded and instantiated using a HTTP PUT request to the /api/system/cluster_config/ endpoint.

Details

Graylog's cluster config system uses fully qualified class names as config keys. To validate the existence of the requested class before using them, Graylog loads the class using the class loader.

https://github.com/Graylog2/graylog2-server/blob/e458db8bf4f789d4d19f1b37f0263f910c8d036c/graylog2-server/src/main/java/org/graylog2/rest/resources/system/ClusterConfigResource.java#L208-L214

PoC

A request of the following form will output the content of the /etc/passwd file:

bash

curl -u admin:<admin-password> -X PUT http://localhost:9000/api/system/cluster_config/java.io.File \
    -H "Content-Type: application/json" \
    -H "X-Requested-By: poc" \
    -d '"/etc/passwd"'

To perform the request, authorization is required. Only users posessing the clusterconfigentry:create and clusterconfigentry:edit permissions are allowed to do so. These permissions are usually only granted to Admin users.

Impact

If a user with the appropriate permissions performs the request, arbitrary classes with 1-arg String constructors can be instantiated.

This will execute arbitrary code that is run during class instantiation.

In the specific use case of java.io.File, the behaviour of the internal web-server stack will lead to information exposure by including the entire file content in the response to the REST request.

Credits

Analysis provided by Fabian Yamaguchi - Whirly Labs (Pty) Ltd

Czego dotyczy

Kliknij technologię, aby zobaczyć wszystkie dotyczące jej podatności.

Platforma	Paczka	Podatne wersje	Poprawka w wersji
Java / Kotlin (Maven)	org.graylog2:graylog2-server	>= 2.0.0, < 5.1.11, >= 5.2.0-alpha.1, < 5.2.4	5.1.11, 5.2.4

Odnośniki

Ocena CVSS 8.8/10

Wektor CVSS: CVSS:3.1/AV:N/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Słabość (CWE): CWE-284
Platforma: Java / Kotlin (Maven)
Paczka: org.graylog2:graylog2-server
Ujawniono: 07.02.2024
Aktualizacja: 11.10.2026 13:20

Źródła i licencje

OSV / GitHub Advisory Database - GHSA-p6gg-5hf4-4rgj - CC BY 4.0

Historia podatności: org.graylog2:graylog2-server

Wszystkie opisane podatności tej paczki (Java / Kotlin (Maven)), od najnowszej. Widać, czy to jednorazowa wpadka, czy paczka, której trzeba pilnować.

Wszystkie (16) w archiwum

Wszystkich wpisów: 16
Pierwsza → ostatnia: 05.2022 09.2026
Bez poprawki: 0
Wykorzystywana w atakach: 0

Rozkład istotności

Wysoka 5
Średnia 8
Niska 3

Ujawnienia w latach

2022: 3
2023: 3
2024: 2
2025: 4
2026: 4

28.08.2026

Fortigate syslog message parser can be exploited to modify or delete fields from the original message

Wysoka · 7.5 CVE-2026-55841 < 6.3.12, >= 7.0.0, < 7.0.7, >= 7.1.0, < 7.1.2 6.3.12, 7.0.7, 7.1.2
30.06.2025

Graylog vulnerable to privilege escalation through API tokens

Wysoka CVE-2025-53106 >= 6.2.0, < 6.2.4, >= 6.3.0-alpha.1, < 6.3.0-rc.2 6.2.4, 6.3.0-rc.2
07.05.2025

Graylog Allows Session Takeover via Insufficient HTML Sanitization

Wysoka · 8.0 CVE-2025-46827 < 6.0.14, >= 6.1.0, < 6.1.10 6.0.14, 6.1.10
07.05.2025

Graylog Allows Stored Cross-Site Scripting via Files Plugin and API Browser

Wysoka · 7.3 ghsa-q9q2-3ppx-mwqf < 6.2.0 6.2.0
07.02.2024

Graylog vulnerable to instantiation of arbitrary classes triggered by API request ten wpis

Wysoka · 8.8 CVE-2024-24824 >= 2.0.0, < 5.1.11, >= 5.2.0-alpha.1, < 5.2.4 5.1.11, 5.2.4

Dowiedz się, które podatności dotyczą Twojej aplikacji

Po podłączeniu integracji DockRay i włączeniu raportowania oprogramowania DockRay porównuje zgłoszone wersje komponentów ze znanymi podatnościami i powiadamia o potwierdzonych dopasowaniach. Zakres zależy od obsługiwanej technologii i dostępnych biuletynów.

Podłącz swoją aplikację