CVE-2025-48734
Təsvir
Apache Commons-da düzgün tənzimlənməmiş giriş nəzarəti zəifliyi. Versiya 1.9.2-də xüsusi bir BeanIntrospector sinfi əlavə edilmişdir. Bu, hücumçuların Java enum obyektlərinin bəyan edilmiş sinif xassətindən istifadə edərək classloader-ə giriş əldə etməsinin qarşısını almaq üçün istifadə edilə bilər. Lakin bu mühafizə susmaya görə aktiv deyildi. Artıq PropertyUtilsBean (və nəticədə BeanUtilsBean) susmaya görə bəyan edilmiş sinif səviyyəli xassələrə girişi qadağan edir. Relizlər 1.11.0 və 2.0.0-M2, enum xassələrinə nəzarətsiz şəkildə giriş zamanı yaranan potensial təhlükəsizlik problemini həll edir. Əgər Commons BeanUtils istifadə edən tətbiq xarici mənbədən gələn xassə yollarını birbaşa PropertyUtilsBean-in getProperty() metoduna ötürürsə, hücumçu bütün Java “enum” obyektlərində mövcud olan “declaredClass” xassəsi vasitəsilə enum-un class loader-inə daxil ola bilər. Enum-un “declaredClass” xassəsinə giriş uzaqdakı hücumçulara ClassLoader-ə müraciət etməyə və ixtiyari kodu icra etməyə imkan verir. Eyni problem PropertyUtilsBean.getNestedProperty() metodu ilə də mövcuddur. Versiyalar 1.11.0 və 2.0.0-M2-dən başlayaraq xüsusi bir BeanIntrospector “declaredClass” xassəsini bloklayır. Qeyd edək ki, bu yeni BeanIntrospector susmaya görə aktivdir, lakin köhnə davranışa qayıtmaq üçün onu deaktiv edə bilərsiniz; istifadəçi rəhbərliyinin 2.5 bölməsinə və vahid testlərə baxın. Bu problem Apache Commons BeanUtils 1.11.0-dan əvvəlki 1.x və 2.0.0-M2-dən əvvəlki 2.x versiyalarına təsir edir. commons-beanutils:commons-beanutils 1.x artefaktının istifadəçilərinə problemi həll edən 1.11.0 versiyasına yüksəltmə etmək tövsiyə olunur. org.apache.commons:commons-beanutils2 2.x artefaktının istifadəçilərinə problemi həll edən 2.0.0-M2 versiyasına yüksəltmə etmək tövsiyə olunur.
Necə düzəltmək olar
- apache commons_beanutils1.11.0 və ya daha yeni versiya
- commons-beanutils:commons-beanutils1.11.0 və ya daha yeni versiya
- org.apache.commons:commons-beanutils22.0.0-M2 və ya daha yeni versiya
Təsirlənən məhsullar
| Məhsul | Təsirlənən versiyalar | Düzəldildiyi versiya |
|---|---|---|
| apache commons_beanutils | 1.0 ≤ v < 1.11.0, 2.0.0 | 1.11.0 |
| commons-beanutils:commons-beanutilsMaven | 1.0 ≤ v < 1.11.0 | 1.11.0 |
| org.apache.commons:commons-beanutils2Maven | 2.0.0-M1 ≤ v < 2.0.0-M2 | 2.0.0-M2 |
Versiyanızı yoxlayın
Məhsulu seçin və istifadə etdiyiniz versiyanı yazın; versiyanın təsirlənən aralıqda olub-olmadığını görün.
Attack Surface Management
Domenlərinizə bağlı aktivləri, onlarda işləyən texnologiyaları və məlum zəiflikləri bir siyahıda görün.