CVE-2025-58782
Açıklama
Apache Jackrabbit Core ve Apache Jackrabbit JCR Commons bileşenlerinde Güvenilmeyen Verilerin Deserialization'ı zafiyeti bulunmaktadır. Bu sorun şu sürümleri etkilemektedir: Apache Jackrabbit Core: 1.0.0 ile 2.22.1 arası; Apache Jackrabbit JCR Commons: 1.0.0 ile 2.22.1 arası. Güvenilmeyen kullanıcılardan JCR araması için JNDI URI kabul eden dağıtımlar, bu kullanıcıların kötü amaçlı JNDI referansları enjekte etmesine izin verir ve bu durum güvenilmeyen verilerin deserialization işlemi yoluyla potansiyel olarak rastgele kod çalıştırılmasına yol açabilir. Kullanıcıların 2.22.2 sürümüne yükseltmeleri önerilir. 2.22.2 sürümünde JNDI üzerinden JCR araması varsayılan olarak devre dışı bırakılmıştır. Bu özelliği kullananların bunu açıkça etkinleştirmeleri ve JCR araması için JNDI URI kullanımlarını gözden geçirmeleri tavsiye edilir.
Nasıl düzeltilir
- apache jackrabbit2.22.2 ya da sonraki bir sürüm
- org.apache.jackrabbit:jackrabbit-core2.22.2 ya da sonraki bir sürüm
- org.apache.jackrabbit:jackrabbit-jcr-commons2.22.2 ya da sonraki bir sürüm
Etkilenen ürünler
| Ürün | Etkilenen sürümler | Düzeltildiği sürüm |
|---|---|---|
| apache jackrabbit | 1.0.0 ≤ v < 2.22.2 | 2.22.2 |
| org.apache.jackrabbit:jackrabbit-coreMaven | 1.0.0 ≤ v < 2.22.2 | 2.22.2 |
| org.apache.jackrabbit:jackrabbit-jcr-commonsMaven | 1.0.0 ≤ v < 2.22.2 | 2.22.2 |
Sürümünüzü kontrol edin
Ürünü seçin ve kullandığınız sürümü yazın; sürümün etkilenen aralıkta olup olmadığını görün.
Attack Surface Management
Alan adlarınıza bağlı varlıkları, bu varlıklarda çalışan teknolojileri ve bilinen zafiyetleri tek listede görün.