CVE-2022-33980

Apache Commons Configuration — RCE przez interpolację zmiennych (2.4–2.7)

CVSS 9.8v3.1pub. 2022-07-06upd. 2024-11-21

Apache Commons Configuration w wersjach 2.4–2.7 zawiera domyślnie włączone mechanizmy interpolacji (lookup), które mogą prowadzić do zdalnego wykonania kodu (RCE) lub nieautoryzowanego kontaktu z zewnętrznymi serwerami. Podatność ma krytyczny poziom CVSS 9.8 i nie wymaga uwierzytelnienia ani interakcji użytkownika.

▸ Pokaż oryginał (EN)

Apache Commons Configuration performs variable interpolation, allowing properties to be dynamically evaluated and expanded. The standard format for interpolation is "${prefix:name}", where "prefix" is used to locate an instance of org.apache.commons.configuration2.interpol.Lookup that performs the interpolation. Starting with version 2.4 and continuing through 2.7, the set of default Lookup instances included interpolators that could result in arbitrary code execution or contact with remote servers. These lookups are: - "script" - execute expressions using the JVM script execution engine (javax.script) - "dns" - resolve dns records - "url" - load values from urls, including from remote servers Applications using the interpolation defaults in the affected versions may be vulnerable to remote code execution or unintentional contact with remote servers if untrusted configuration values are used. Users are recommended to upgrade to Apache Commons Configuration 2.8.0, which disables the problematic interpolators by default.

🤖 Analiza AI

Jak działa

Biblioteka obsługuje mechanizm interpolacji zmiennych w formacie '${prefix:name}', który dynamicznie przetwarza wartości właściwości aplikacji. W wersjach 2.4–2.7 domyślny zestaw instancji Lookup zawiera trzy niebezpieczne interpolatory: 'script' (wykonuje wyrażenia przez silnik skryptowy JVM — javax.script), 'dns' (rozwiązuje rekordy DNS) oraz 'url' (pobiera wartości z dowolnych adresów URL, w tym ze zdalnych serwerów). Jeśli aplikacja przetwarza niezaufane wartości konfiguracyjne z użyciem domyślnych ustawień interpolacji, atakujący może przemycić odpowiednio spreparowaną wartość i wywołać wykonanie dowolnego kodu lub zainicjować połączenie z kontrolowanym przez siebie serwerem.

Skutki

Atakujący może uzyskać pełną kontrolę nad serwerem poprzez zdalne wykonanie kodu (RCE), a także spowodować wyciek danych lub nieautoryzowany kontakt aplikacji z zewnętrzną infrastrukturą — co obejmuje naruszenie poufności, integralności i dostępności systemu.

Mitygacja

Należy zaktualizować Apache Commons Configuration do wersji 2.8.0 lub nowszej, która domyślnie wyłącza problematyczne interpolatory ('script', 'dns', 'url'). Użytkownicy NetApp SnapCenter powinni zapoznać się z poradnikiem producenta (ntap-20221028-0015). Użytkownicy Debian Linux powinni zastosować aktualizację opisaną w DSA-5290. Do czasu aktualizacji należy unikać przetwarzania niezaufanych wartości konfiguracyjnych przez mechanizm interpolacji.

Kogo dotyczy

Apache Commons Configuration w wersjach 2.4 do 2.7 (włącznie); pośrednio produkty korzystające z tej biblioteki, takie jak NetApp SnapCenter oraz systemy oparte na Debian Linux z podatną wersją pakietu

Uwagi

Podatność dotyczy wyłącznie aplikacji, które używają domyślnych ustawień interpolacji i jednocześnie przetwarzają niezaufane dane wejściowe w konfiguracji — aplikacje korzystające wyłącznie z zaufanych źródeł konfiguracji mają ograniczone ryzyko ekspozycji.