PT-2022-16896 · Janino+2 · Janino+2

Aaime + 1 · Publicado 2022-04-13 · Atualizado 2024-09-24 · CVE-2022-24816

Positive Technologies (AI Summary) · Pt

CVSS v3.1

10

Crítica

Vetor base

AV:N/AC:L/PR:N/UI:N/S:C/C:H/I:H/A:H

Nome do software vulnerável e versões afetadas

Versões do JAI-EXT anteriores à 1.2.22

GeoServer (versões afetadas não especificadas)

Descrição

Programas que permitem que scripts Jiffle sejam fornecidos por meio de solicitações de rede podem levar à execução remota de código, uma vez que o script Jiffle é compilado em código Java via Janino e executado. Isso afeta o projeto GeoServer, que depende desse componente.

Recomendações

Para versões do JAI-EXT anteriores à 1.2.22, atualize para a versão 1.2.22 para corrigir a vulnerabilidade.

Como solução alternativa temporária para usuários que não possam atualizar, remova o janino-x.y.z.jar do classpath para impedir a compilação de scripts Jiffle a partir do aplicativo final.

Exploit

Correção

Code Injection

Enumeração de Fraquezas

CWE-94

Identificadores relacionados

CVE-2022-24816

GHSA-V92F-JX6P-73RX

Produtos afetados

Geoserver

Jai-Ext

Janino

Referências · 15

• 🔥 https://github.com/CVEProject/cvelistV5/tree/main/cves/2022/24xxx/CVE-2022-24816.json · Exploit
• https://github.com/geosolutions-it/jai-ext/commit/cb1d6565d38954676b0a366da4f965fef38da1cb · Correção
• https://github.com/geosolutions-it/jai-ext/security/advisories/GHSA-v92f-jx6p-73rx · Aviso do Fabricante
• https://github.com/geosolutions-it/jai-ext · Nota
• https://twitter.com/linux_ly/status/1833113744513351914 · Publicação no Twitter
• https://nvd.nist.gov/vuln/detail/CVE-2022-24816 · Nota de Segurança
• https://osv.dev/vulnerability/GHSA-v92f-jx6p-73rx · Aviso do Fabricante
• https://cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2022-24816 · Nota
• https://twitter.com/linux_ly/status/1827032727553765866 · Publicação no Twitter
• https://t.me/cvenotify/84597 · Publicação no Telegram
• https://osv.dev/vulnerability/CVE-2022-24816 · Aviso do Fabricante
• https://t.me/cibsecurity/40743 · Publicação no Telegram
• https://t.me/cvenotify/86290 · Publicação no Telegram
• https://twitter.com/linux_ly/status/1838711265528811621 · Publicação no Twitter
• https://t.me/cvenotify/28889 · Publicação no Telegram