PT-2022-3497 · Apache+2 · Apache Commons Configuration+2
Matt Juntunen
·
Publicado
2022-07-06
·
Atualizado
2025-09-29
·
CVE-2022-33980
CVSS v3.1
9.8
Crítica
| Vetor | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
Nome do software vulnerável e versões afetadas
Apache Commons Configuration, versões 2.4 a 2.7
Descrição
O problema está relacionado ao recurso de interpolação de variáveis do Apache Commons Configuration, que permite que propriedades sejam avaliadas e expandidas dinamicamente. O formato padrão para interpolação é “${prefix:name}”, onde “prefix” é usado para localizar uma instância de org.apache.commons.configuration2.interpol.Lookup que realiza a interpolação. As versões afetadas incluem instâncias padrão do Lookup que podem resultar na execução de código arbitrário ou contato com servidores remotos, especificamente as pesquisas “script”, ‘dns’ e “url”. Essas pesquisas podem executar expressões usando o mecanismo de execução de scripts da JVM, resolver registros DNS e carregar valores de URLs, inclusive de servidores remotos. Aplicativos que utilizam os padrões de interpolação nas versões afetadas podem estar vulneráveis à execução remota de código ou ao contato não intencional com servidores remotos caso sejam utilizados valores de configuração não confiáveis.
Recomendações
Atualize para o Apache Commons Configuration 2.8.0, que desativa os interpoladores problemáticos por padrão.
Como solução alternativa temporária, considere desativar as pesquisas “script”, ‘dns’ e “url” para minimizar o risco de exploração.
Restrinja o acesso a valores de configuração não confiáveis para evitar a possível execução remota de código ou contato não intencional com servidores remotos.
Exploit
Correção
Code Injection
Special Elements Injection
Encontrou algum problema na descrição? Tem algo a acrescentar? Fique à vontade para nos escrever 👾
Identificadores relacionados
Produtos afetados
Apache Commons Configuration
Red Os
Rocky Linux