CVE-2022-33980
Açıklama
Apache Commons Configuration, özelliklerin dinamik olarak değerlendirilmesine ve genişletilmesine olanak tanıyan değişken enterpolasyonu gerçekleştirir. Enterpolasyon için standart format, enterpolasyonu gerçekleştiren bir org.apache.commons.configuration2.interpol.Lookup örneğini bulmak için "prefix" ifadesinin kullanıldığı "${prefix:name}" şeklindedir. Versiyon 2.4 ile başlayıp 2.7'ye kadar devam eden süreçte, varsayılan Lookup örnekleri seti, rastgele kod çalıştırılmasına veya uzak sunucularla iletişime geçilmesine neden olabilecek enterpolatörler içeriyordu. Bu lookuplar şunlardır: - "script" - JVM betik yürütme motorunu (javax.script) kullanarak ifadeleri çalıştırır - "dns" - DNS kayıtlarını çözer - "url" - Uzak sunucular da dahil olmak üzere URL'lerden değerler yükler. Etkilenen versiyonlarda enterpolasyon varsayılanlarını kullanan uygulamalar, güvenilmeyen yapılandırma değerlerinin kullanılması durumunda uzaktan kod çalıştırma veya uzak sunucularla istenmeyen iletişim riskine karşı savunmasız olabilir. Kullanıcıların, sorunlu enterpolatörleri varsayılan olarak devre dışı bırakan Apache Commons Configuration 2.8.0 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache commons_configuration2.8 ya da sonraki bir sürüm
- org.apache.commons:commons-configuration22.8.0 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache commons_configuration | 2.4 ≤ v < 2.8 | 2.8 |
| netapp snapcenter | Aralık belirtilmemiş | — |
| debian debian_linux | 11.0 | — |
| org.apache.commons:commons-configuration2Maven | 2.4 ≤ v < 2.8.0 | 2.8.0 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.