4
NVD - CVE-2022-42889：Apache Commons爆9.8分高危险漏洞
source link: https://www.jdon.com/63004
Go to the source link to view the article. You can view the picture content, updated content and better typesetting reading experience. If the link is broken, please click the button below to view the snapshot at that time.
CVE-2022-42889：Apache Commons爆9.8分高危险漏洞
该漏洞已被修改，目前正在进行重新分析。请很快回来查看更新的漏洞摘要。
Apache Commons Text执行变量插值，允许属性被动态地评估和扩展。插值的标准格式是"${prefix:name}"，其中 "prefix "用于定位执行插值的org.apache.commons.text.lookup.StringLookup的一个实例。
从1.5版开始，一直到1.9版，默认的Lookup实例集包括可能导致任意代码执行或与远程服务器联系的插值器。
这些查找器是
- - "script" - 使用JVM脚本执行引擎（javax.script）执行表达式
- - "dns" - 解析dns记录
- - "url" - 从urls加载值，包括从远程服务器加载值 如果使用不受信任的配置值，
使用受影响版本的插值默认值的应用程序可能会受到远程代码执行或无意中与远程服务器接触的影响。建议用户升级到Apache Commons Text 1.10.0，该版本默认停用有问题的插值器。
Recommend
About Joyk
Aggregate valuable and interesting links.
Joyk means Joy of geeK