CVE-2022-24816

Kritik CISA KEV: Aktif İstismar

Teknik Veri (Otomatik)

CVSS Skoru: 10
EPSS: 98.5%
CWE: CWE-94
KEV Durumu: Evet

Yayım tarihi: 13 Nisan 2022 · CISA KEV son iyileştirme tarihi: 17 Temmuz 2024

Etkilenen: geosolutionsgroup jai-ext

JAI-EXT, Java Advanced Imaging (JAI) API'yi genişletmeyi hedefleyen açık kaynaklı bir projedir. Ağ isteği yoluyla Jiffle betiği sağlama izni veren programlar, Jiffle betiğinin Janino aracılığıyla Java kodu olarak derlenmesi ve yürütülmesi nedeniyle Uzak Kod Yürütülmesine (RCE) neden olabilir. Özellikle bu, aşağı akış GeoServer projesini etkiler. 1.2.22 sürümü, resulting betiğe kötü amaçlı kod enjekte etme yeteneğini devre dışı bırakan bir yama içerecektir. Yükseltme yapamayan kullanıcılar, janino-x.y.z.jar dosyasını sınıf yolundan kaldırarak, nihai uygulamadan Jiffle betiklerini derleme yeteneğini ortadan kaldırabilir.

Orijinal açıklama (İngilizce)

JAI-EXT is an open-source project which aims to extend the Java Advanced Imaging (JAI) API. Programs allowing Jiffle script to be provided via network request can lead to a Remote Code Execution as the Jiffle script is compiled into Java code via Janino, and executed. In particular, this affects the downstream GeoServer project. Version 1.2.22 will contain a patch that disables the ability to inject malicious code into the resulting script. Users unable to upgrade may negate the ability to compile Jiffle scripts from the final application, by removing janino-x.y.z.jar from the classpath.

Referanslar

NVD kaydı ↗CVE.org ↗CISA KEV kataloğu ↗

Bu CVE için henüz editoryal inceleme yapılmadı. Sadece otomatik teknik veri gösteriliyor.