Vulnérabilité dans Apache Commons Text

Date de publication :

CVE-2022-42889[Score CVSS v3.1:9.8]
Un défaut dans l’objet « StringSubstitutor Interpolator » de la méthode StringSubstitutor.createinterpolator() d’Apache Commons Text, une bibliothèque Java, permet à un attaquant, en renseignant une chaine de caractères spécifiquement forgée, d’exécuter du code arbitraire sur le système.

Informations

La faille est activement exploitée :

Un correctif existe :

Une mesure de contournement existe :

Risques

Risques

  • Exécution de code arbitraire sur le système

Criticité

  • Score CVSS v3.1: 9.8

La faille est activement exploitée

  • Oui.

Un correctif existe

  • Oui.

Une mesure de contournement existe

  • Non.

La vulnérabilité exploitée est du type

CWE-94: Improper Control of Generation of Code ('Code Injection')

Détails sur l’exploitation

  • Vecteur d’attaque : Réseau.
  • Complexité de l’attaque : Faible.
  • Privilèges nécessaires pour réaliser l’attaque : Aucun.
  • Interaction d’un utilisateur ayant accès au produit est-elle nécessaire : Non.
  • L’exploitation de la faille permet d’obtenir des droits privilégiés : Non.

Composants vulnérables

  • Apache Commons Text 1.9.0

Solutions ou recommandations

  • Mettre à jour Apache Commons Text vers la version 1.10.0 ou vers une version supérieure.

  • Plus d’informations disponibles ici.

Liens