NVD - CVE-2022-42889：Apache Commons爆9.8分高危險漏洞

banq發表於2022-10-24
Apache

該漏洞已被修改，目前正在進行重新分析。

Apache Commons Text執行變數插值，允許屬性被動態地評估和擴充套件。插值的標準格式是"${prefix:name}"，其中 "prefix "用於定位執行插值的org.apache.commons.text.lookup.StringLookup的一個例項。
從1.5版開始，一直到1.9版，預設的Lookup例項集包括可能導致任意程式碼執行或與遠端伺服器聯絡的插值器。
這些查詢器是
  • - "script" - 使用JVM指令碼執行引擎（javax.script）執行表示式
  • - "dns" - 解析dns記錄
  • - "url" - 從urls載入值，包括從遠端伺服器載入值 如果使用不受信任的配置值，


使用受影響版本的插值預設值的應用程式可能會受到遠端程式碼執行或無意中與遠端伺服器接觸的影響。建議使用者升級到Apache Commons Text 1.10.0，該版本預設停用有問題的插值器。

 

相關文章