CVE-2022-39243
Açıklama
NuProcess, Java için harici bir süreç yürütme uygulamasıdır. JVM'nin Java_java_lang_UNIXProcess_forkAndExec yöntemini kullanarak süreçleri çatallayan tüm NuProcess sürümlerinde (1.2.0+), saldırganlar komut satırı enjeksiyonu gerçekleştirmek için dizgelerinde NUL karakterleri kullanabilirler. Java'nın ProcessBuilder bileşeni, ProcessBuilder.start içerisindeki bir kontrol nedeniyle bu duruma karşı savunmasız değildir; ancak NuProcess'te bu kontrol eksiktir. Bu güvenlik açığı yalnızca Linux üzerinde komut satırı argümanları enjekte etmek için istismar edilebilir. Sürüm 2.0.5 bir yama içermektedir. Geçici bir çözüm olarak, kütüphane kullanıcıları, komut dizgelerini NuProcess'e yürütülmek üzere iletmeden önce NUL karakterlerini kaldırmak için temizleyebilirler.
Nasıl düzeltilir
- nuprocess_project nuprocess2.0.5 ya da sonraki bir sürüm
- com.zaxxer:nuprocess2.0.5 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| nuprocess_project nuprocess | 1.2.0 ≤ v < 2.0.5 | 2.0.5 |
| com.zaxxer:nuprocessMaven | 1.2.0 ≤ v < 2.0.5 | 2.0.5 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.