CVE-2022-39243
Təsvir
NuProcess, Java üçün xarici proseslərin icrasının tətbiqidir. JVM-in Java_java_lang_UNIXProcess_forkAndExec metodundan istifadə edərək prosesləri şaxələndirən bütün NuProcess versiyalarında (1.2.0+), hücumçular komanda sətri inyeksiyasını həyata keçirmək üçün sətirlərdə NUL simvollarından istifadə edə bilərlər. Java-nın ProcessBuilder sinfi ProcessBuilder.start daxilindəki yoxlama sayəsində bu zəifliyə məruz qalmır. NuProcess-də isə həmin yoxlama mövcud deyil. Bu zəiflik yalnız Linux əməliyyat sistemində komanda sətri arqumentlərini inyeksiya etmək üçün istifadə edilə bilər. Versiya 2.0.5-də düzəliş tətbiq edilmişdir. Müvəqqəti həll yolu kimi, kitabxana istifadəçiləri komanda sətirlərini NuProcess-ə icra üçün göndərməzdən əvvəl onları NUL simvollarını təmizləyərək sanitizasiya edə bilərlər.
Necə düzəltmək olar
- nuprocess_project nuprocess2.0.5 və ya daha yeni versiya
- com.zaxxer:nuprocess2.0.5 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| nuprocess_project nuprocess | 1.2.0 ≤ v < 2.0.5 | 2.0.5 |
| com.zaxxer:nuprocessMaven | 1.2.0 ≤ v < 2.0.5 | 2.0.5 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.