ГлавнаяБаза уязвимостей БДУ → BDU:2022-06275
10критическая

BDU:2022-06275 (CVE-2022-42889)

Уязвимость компонента StringSubstitutor библиотеки Apache Common Text, позволяющая нарушителю выполнить произвольный код
Опубликовано: 2022-10-18
Описание

Уязвимость компонента StringSubstitutor библиотеки Apache Common Text связана с неверным управлением генерацией кода. Эксплуатация уязвимости может позволить нарушителю, действующему удаленно, выполнить произвольный код

Затрагиваемое ПО и версии
Debian GNU/Linux (10)openSUSE TumbleweedOpenShift Container Platform (4)Red Hat Integration Camel KRed Hat Integration Camel QuarkusRed Hat Satellite (6)Commons Text (от 1.5 до 1.10.0)OpenShift Developer Tools and ServicesRed Hat Integration Camel for Spring Boot
Способ устранения

Установка обновлений из доверенных источников.
В связи со сложившейся обстановкой и введенными санкциями против Российской Федерации рекомендуется устанавливать обновления программного обеспечения только после оценки всех сопутствующих рисков.

Компенсирующие меры:
- использование межсетевых экранов прикладного уровня;
- изменение метода InetAddress::checkNumericZone для удаления итерации проверки символов «[» и «]».

Использование рекомендаций производителя:
Для Apache Common Text:
https://lists.apache.org/thread/n2bd4vdsgkqh2tm14l1wyc3jyol7s1om

Для Debian GNU/Linux:
https://security-tracker.debian.org/tracker/CVE-2022-42889

Для программных продуктов Red Hat Inc.:
https://access.redhat.com/security/cve/cve-2022-42889

Для программных продуктов Novell Inc.:
https://www.suse.com/security/cve/CVE-2022-42889.html

Оценка CVSS
Балл10 — критическая опасность
Источники и патчи
https://lists.apache.org/thread/n2bd4vdsgkqh2tm14l1wyc3jyol7s1omhttps://www.rapid7.com/blog/post/2022/10/17/cve-2022-42889-keep-calm-and-stop-saying-4shell/https://research.nccgroup.com/2022/10/06/technical-advisory-openjdk-weak-parsing-logic-in-java-net-inetaddress-and-related-classes/https://security-tracker.debian.org/tracker/CVE-2022-42889https://access.redhat.com/security/cve/cve-2022-42889https://www.suse.com/security/cve/CVE-2022-42889.html
Проверьте безопасность своего сайта и почты → Полная проверка домена