CVE-2023-5763

O Eclipse GlassFish 5 e 6 expõem listeners ORB inseguros que permitem a um atacante remoto carregar código malicioso no servidor — mas apenas quando o host roda um JDK antigo, especificamente inferior à 6u211, 7u201 ou 8u191. A falha é, na verdade, uma interação perigosa: os listeners ORB do GlassFish mais um runtime Java desatualizado combinam-se em um caminho de carregamento remoto de código. Em um JDK atual, esse caminho está fechado.

A pré-condição do JDK e a alta complexidade de ataque são o motivo de isso ser um 6.8 e não um RCE crítico direto, e ambas são limitadores honestos. Um runtime Java corrigido — qualquer coisa além desses níveis de update — remove a exposição inteiramente, então a população verdadeiramente em risco são servidores que rodam tanto o GlassFish quanto um JDK há muito sem correção. Onde essa combinação existe, é genuinamente explorável para carregamento de código; onde não existe, isso não se aplica.

Isso torna esta uma triagem de dependência e configuração, e não uma correção bruta do GlassFish. Nossa pergunta determinante é a versão do JDK por baixo de cada instância do GlassFish, porque esse único fato decide se o host é vulnerável ou não. Classificaríamos um servidor GlassFish em um JDK moderno como baixo e um em um JDK antigo como uma exposição real de execução de código — e atualizar o runtime é a correção mais limpa, fechando isso sem tocar no servidor de aplicação.