PT-2022-15741 · Apache · Apache Karaf

Jaroslav Lobacevski · Publicado 2022-01-26 · Atualizado 2022-02-03 · CVE-2022-22932

Positive Technologies (AI Summary) · Pt

CVSS v3.1

5.3

Média

Vetor base

AV:N/AC:L/PR:N/UI:N/S:U/C:L/I:N/A:N

Nome do software vulnerável e versões afetadas

Versões do Apache Karaf anteriores à 4.2.15

Versões do Apache Karaf anteriores à 4.3.6

Descrição

O problema está relacionado à traversal parcial de caminho nos comandos obr:* do Apache Karaf e na meta run do karaf-maven-plugin, permitindo que um invasor saia da pasta esperada. O risco é considerado baixo porque os comandos obr:* não são comumente usados e o ponto de entrada é definido pelo usuário.

Recomendações

Para versões anteriores à 4.2.15, atualize para a versão 4.2.15 ou posterior o mais rápido possível, ou utilize o caminho correto.

Para versões anteriores à 4.3.6, atualize para a versão 4.3.6 ou posterior o mais rápido possível, ou utilize o caminho correto.

Correção

Path traversal

Enumeração de Fraquezas

CWE-22

Identificadores relacionados

CVE-2022-22932

GHSA-544X-2JX9-4PFG

Produtos afetados

Apache Karaf

Referências · 10

• https://github.com/apache/karaf · Nota
• https://github.com/apache/karaf/pull/1485 · Nota
• https://gitbox.apache.org/repos/asf?p=karaf.git;h=36a2bc4 · Nota
• https://karaf.apache.org/security/cve-2022-22932.txt · Aviso do Fabricante
• https://issues.apache.org/jira/browse/KARAF-7326 · Nota
• https://nvd.nist.gov/vuln/detail/CVE-2022-22932 · Nota de Segurança
• https://osv.dev/vulnerability/CVE-2022-22932 · Aviso do Fabricante
• https://t.me/cibsecurity/36292 · Publicação no Telegram
• https://gitbox.apache.org/repos/asf?p=karaf.git;h=52b70cf · Nota
• https://osv.dev/vulnerability/GHSA-544x-2jx9-4pfg · Aviso do Fabricante