Vulnérabilité dans Apache Commons Text

Date de publication :

CVE-2022-42889[Score CVSS v3.1:9.8]

Un défaut dans l’objet « StringSubstitutor Interpolator » de la méthode StringSubstitutor.createinterpolator() d’Apache Commons Text, une bibliothèque Java, permet à un attaquant, en renseignant une chaine de caractères spécifiquement forgée, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

    Exécution de code arbitraire sur le système

Criticité

    Score CVSS v3.1: 9.8

La faille est activement exploitée

    Oui.

Un correctif existe

    Oui.

Une mesure de contournement existe

    Non.

La vulnérabilité exploitée est du type

CWE-94: Improper Control of Generation of Code ('Code Injection')

Détails sur l’exploitation

    Vecteur d’attaque : Réseau.

    Complexité de l’attaque : Faible.

    Privilèges nécessaires pour réaliser l’attaque : Aucun.

    Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.

    L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

    Apache Commons Text 1.9.0

Solutions ou recommandations

  • Mettre à jour Apache Commons Text vers la version 1.10.0 ou vers une version supérieure.

  • Plus d’informations disponibles ici.

Liens