股票代碼：688225
打開微信“掃一掃”，開啟安全數(shù)字世界之旅
截圖或長按保存至相冊，使用微信掃一掃
高危！Apache Commons Configuration2遠程代碼執(zhí)行漏洞風(fēng)險通告
發(fā)布時間 ：2022年07月11日
類型 ：勒索軟件
分享：
漏洞描述
近日，亞信安全CERT監(jiān)控到Apache Commons Configuration2存在遠程代碼執(zhí)行漏洞（CVE-2022-33980），該漏洞源于Apache Commons Configuration2執(zhí)行變量interpolation時，允許動態(tài)評估和擴展屬性。interpolation的標準格式是“${prefix:name}”，其中“prefix”用于定位執(zhí)行interpolation的 org.apache.commons.configuration2.interpol.Lookup的實例。從2.4版到2.7版，默認的Lookup實例可能導(dǎo)致任意代碼執(zhí)行或遠程連接服務(wù)器。
目前廠商已發(fā)布安全版本，鑒于該漏洞受影響面廣大，亞信安全CERT建議使用Apache Commons Configuration2的用戶盡快采取相關(guān)措施。
Apache Commons Configuration2是Apache基金會下的一個開源項目組件。它是一個java應(yīng)用程序的配置管理工具，可以從properties或者xml文件中加載軟件的配置信息，用來構(gòu)建支撐軟件運行的基礎(chǔ)環(huán)境。
漏洞編號
CVE-2022-33980
漏洞等級
高危
漏洞狀態(tài)
受影響的版本
Apache Commons Configuration 2.4 - Apache Commons Configuration 2.7
修復(fù)建議
更新至安全版本：
Apache Commons Configuration 2.8.0
下載地址：
https://commons.apache.org/proper/commons-configuration/download_configuration.cgi
參考鏈接
https://snyk.io/blog/cve-2022-33980-apache-commons-configuration-rce-vulnerability/
https://lists.apache.org/thread/tdf5n7j80lfxdhs2764vn0xmpfodm87s
分享到微信
X